OpenCode 漏洞允許惡意 MCP 伺服器於 Windows 與 WSL 登入時執行程式碼

Swati KhandelwalOct 22, 2026漏洞 / 人工智慧

在 OpenCode AI 編碼代理中存在一個缺陷，允許惡意或被劫持的 MCP 伺服器在開發者登入時，在其 Windows 或 WSL 機器上執行程式碼。OpenCode 連線到 MCP (Model Context Protocol) 伺服器以加入外部工具，並且此類程式碼將以開發者自己的許可權執行。

Anomaly，OpenCode 背後的公司，在 version 1.18.33 9 月 28 日修正了漏洞。它沒有申請 CVE 或發布安全建議書，因此漏洞掃描器不會將仍處於風險的版本（1.0.137 至 1.18.32）標記為有問題。

在那次登入過程中，伺服器本身會提供使用者被導向的網頁位址，即 OAuth 的「授權端點」。在 Windows 與 WSL 上，OpenCode 將該位址交給一個在瀏覽器中開啟它的協助程式。該協助程式在未對位址進行轉義的情況下，將 PowerShell 命令包裝於位址周圍，因此若位址被寫成攜帶 PowerShell 命令，該命令將被執行。

瀏覽器步驟僅在開發者啟動登入時執行，即執行 opencode mcp auth 或傳送相應請求。僅僅配置伺服器或開啟會話並不會觸發此步驟。

攻擊者需要控制開發者已加入的遠端 MCP 伺服器，而該伺服器不必一開始就惡意。後來被接管的伺服器，或更換所有者的域名，都可能帶有相同的位址。

Pillar Security，在 10 月 19 日發現並披露此缺陷，將其評為嚴重，建議嚴重程度分數為 10 分中的 9.8。

此缺陷影響 OpenCode 在 Windows 與 Windows Subsystem for Linux (WSL) 上。macOS 與 Linux 不受影響，因為 OpenCode 在那裡開啟瀏覽器時不會將位址透過 shell 傳遞。

OpenCode 將修正作為常規變更發布。承載該修正的 pull request 被描述為瀏覽器啟動程式碼的重構，且該請求或發布說明均未提及安全缺陷。

Anomaly 沒有申請 CVE 或發布建議書。其 security policy 指出使用者所配置的 MCP 伺服器屬於「我們信任邊界之外」。

Pillar 於 8 月 29 日私下報告此缺陷，後來要求 Anomaly 重新考慮並申請 CVE。根據 Pillar，Anomaly 的回覆是惡意 MCP 伺服器屬於其威脅模型之外。

因為沒有 CVE，該缺陷不會出現在掃描器或相依性警示中，因此要找出受影響的安裝，需要直接檢查 OpenCode 版本。Anomaly 本年度已發布其他 OpenCode 執行程式碼缺陷的建議書，其中包括 8 月修正的漏洞。

同類缺陷曾先前出現。2025 年 7 月，mcp-remote 代理攜帶了一個 almost identical bug，其中惡意伺服器的授權端點觸及命令列。該缺陷被分配 CVE-2025-6514。

OpenCode 的瀏覽器協助程式是一個廣泛使用的套件，名為 open。其 Windows 行為於 2023 年被報告為命令注入風險，並在 open 版本 11 中修正，但 OpenCode 仍停留在較舊的版本。

此類缺陷的常見防禦方式是檢查位址是否使用 HTTP 或 HTTPS。此方法在此處無效，因為攻擊使用的是普通 HTTPS 位址。OpenCode 亦加入了此檢查，但漏洞在更新至修正版本後已被修復。

該怎麼辦

使用 Windows 或 WSL 執行 OpenCode 的任何人都應該升級並檢查他們連線到哪些伺服器。

升級至 OpenCode 1.18.33 或更高版本。
若尚未能升級，請將未經驗證的任何遠端 MCP 伺服器從 OpenCode 設定中移除。
執行 opencode mcp list 檢視已設定的伺服器。

Pillar 報告未發現此漏洞已被利用於攻擊，亦未公佈任何可檢查過去利用的指標。此漏洞與同一時間披露的 OpenCode 託管 Console 的違規事件分離，該事件可能導致部分使用者儲存的 OpenAI、Anthropic 與 Google API 金鑰被洩露。

覺得這篇文章有趣嗎？追蹤我們的 Google News、Twitter 與 LinkedIn，閱讀更多我們發布的獨家內容。