事件经过
Pillar Security于2026-10-19披露了流行开源AI编码代理opencode中的严重RCE：攻击者控制的远程MCP服务器可在自动MCP OAuth认证过程中，无需额外用户交互或同意，在Windows/WSL开发者机器上执行任意代码。提议CVSS 9.8（严重，AV:N/AC:L/PR:N/UI:N）。同类漏洞已在CVE-2025-6514（9.6）和2025年其他两个CVE中记录；opencode的易受攻击代码编写于2025年12月，Anomaly未发布安全公告或申请CVE。
影响分析
这是无凭据的代理工具链：将编码代理连接到任何远程MCP服务器（公开的、仿冒的或后来被劫持的）可让攻击者在开发者机器上执行代码——该机器持有这些代理使用的云、SSH、git和模型提供商凭据。披露缺口意味着大多数企业不会知道自己暴露在风险中。
攻击途径
在远程MCP服务器的OAuth 401挑战期间，攻击者控制的authorization_endpoint字符串直接从网络流入shell调用（浏览器启动包open/xdg-open），无方案验证或来源检查（CWE-78操作系统命令注入）。恶意或后来被攻陷/劫持的远程MCP服务器可在开发者主机上触发任意代码执行。
受影响系统
opencode（npm上的opencode-ai）>=1.0.137，<=1.18.32，在Windows和WSL上
缓解措施
升级至opencode 1.18.33（2026-09-28发布）。由于Anomaly以静默重构方式发布修复，无公告或CVE，请直接清查受影响安装——依赖扫描器不会标记此问题。