무슨 일이 있었나
CVE-2026-119025 / GHSA-jgwm-4pmq-r4w4: open 7.2.0부터 11.0.0까지 Windows 및 WSL에서 `powershell -EncodedCommand`에 이스케이프되지 않은 URL(악성 MCP 서버가 제공하는 OAuth authorization_endpoint 값 포함)을 전달합니다. URL에 포함된 $(...) 하위 표현식이 셸로 평가되므로, 악성 원격 MCP 서버의 OAuth 엔드포인트를 통해 클라이언트가 인증 흐름을 실행할 때 개발자 머신에서 임의 코드 실행이 발생합니다.
왜 중요한가
이것은 구체적인 에이전트 실행 공격 클래스입니다: 공격자가 에이전트가 연결하는 MCP 서버를 제어하고, OAuth 핸드셰이크만으로 개발자 권한으로 임의 코드를 실행할 수 있습니다. 'MCP 서버에 연결'을 코딩 에이전시 배포에서 호스트 RCE로 전환합니다.
공격 경로
사용자가 OAuth authorization_endpoint에 $(...) 명령 치환이 포함된 원격 MCP 서버에 연결합니다; 클라이언트는 이스케이프되지 않은 URL에서 powershell -EncodedCommand 명령을 구성하고 실행합니다.
영향받는 시스템
open / opencode 7.2.0 이상 11.0.0 미만.
완화 방안
open 11.0.0 이상으로 업그레이드하십시오; MCP 서버 인증 엔드포인트를 검증/허용 목록화하고 Windows/WSL 호스트에서 검증되지 않은 원격 MCP 서버 연결을 피하십시오.