무슨 일이 있었나
Pillar Security는 (2026-10-19) 인기 있는 오픈소스 AI 코딩 에이전트 opencode에서 심각한 RCE를 공개했습니다: 공격자가 제어하는 원격 MCP 서버가 자동 MCP OAuth 인증 과정 중에 추가 사용자 상호작용이나 동의 없이 Windows/WSL 개발자 머신에서 임의 코드를 실행할 수 있습니다. 제안된 CVSS 9.8 (Critical, AV:N/AC:L/PR:N/UI:N). 동일한 싱크 클래스는 CVE-2025-6514 (9.6) 및 2025년 다른 두 CVE에 문서화되었습니다; opencode의 취약한 코드는 2025년 12월에 작성되었으며 Anomaly는 권고를 발행하거나 CVE를 요청하지 않았습니다.
왜 중요한가
이것은 자격 증명 없는 에이전트-도구 체인입니다: 코딩 에이전트를 원격 MCP 서버(공개, 타이포스쿼팅, 또는 나중에 하이재킹된)에 연결하면 개발자 머신 — 이 에이전트가 사용하는 클라우드, SSH, git, 모델 제공자 자격 증명을 보유한 — 에서 코드 실행을 공격자에게 제공할 수 있습니다. 공개 공백으로 인해 대부분의 기업은 자신이 노출되어 있음을 알지 못할 것입니다.
공격 경로
원격 MCP 서버의 OAuth 401 챌린지 중, 공격자가 제어하는 authorization_endpoint 문자열은 스킴 검증이나 출처 확인 없이 셸 호출(브라우저 실행 패키지 open/xdg-open)로 직접 흘러갑니다 (CWE-78 OS 명령 주입). 악의적이거나 나중에 손상/하이재킹된 원격 MCP 서버는 개발자 호스트에서 임의 코드 실행을 트리거할 수 있습니다.
영향받는 시스템
opencode (npm의 opencode-ai) >= 1.0.137, <= 1.18.32, Windows 및 WSL에서
완화 방안
opencode 1.18.33 (2026-09-28 출시)으로 업그레이드하세요. Anomaly가 수정을 권고나 CVE 없이 조용한 리팩토링으로 제공했으므로, 영향을 받는 설치를 직접 식별하세요 — 의존성 스캐너는 이를 감지하지 못할 것입니다.