OpenCode corrige falha crítica de execução remota de código via MCP
Falha no agente de código IA OpenCode permitia que um servidor MCP remoto malicioso executasse código na máquina Windows do desenvolvedor durante o login OAuth, sem interação do usuário, segundo a Pillar Security. As versões 1.0.137 a 1.18.32 no Windows e WSL estão expostas e a Anomaly corrigiu o problema na versão 1.18.33, sem emitir advisory ou CVE, então scanners não sinalizam. Atualize para 1.18.33 ou posterior e revise a quais servidores MCP os agentes se conectam.
O que aconteceu
Uma falha no agente de código OpenCode permitia que um servidor MCP remoto malicioso executasse código na máquina do desenvolvedor durante o login, sem qualquer interação do usuário. O problema afeta as versões 1.0.137 a 1.18.32 no Windows e WSL. A descoberta é da Pillar Security, divulgada em 19 de outubro de 2026.
Por que importa
Com os privilégios do desenvolvedor, um atacante poderia acessar código-fonte, credenciais e sistemas internos alcançáveis pelo usuário. Segundo a Pillar Security, o OpenCode tem cerca de 3 milhões de downloads semanais no npm. Como a Anomaly não emitiu advisory nem CVE, scanners de vulnerabilidade e alertas de dependência não identificam a falha.
O que fazer
Atualizar o OpenCode para a versão 1.18.33 ou posterior no Windows e WSL. Inventariar as instalações diretamente, sem depender de ferramentas automáticas, e revisar a quais servidores MCP remotos os agentes estão autorizados a se conectar.
Para o time técnico
- Afetados
- Anomaly OpenCode AI coding agent no Windows e WSL · OpenCode 1.0.137 a 1.18.32 no Windows e WSL.
- Exploração
- Nenhuma exploração na natureza relatada nas fontes. Divulgação da Pillar Security em 19 de outubro de 2026, com pesquisa de Eilon Cohen. Sem PoC pública citada, sem advisory e sem CVE emitidos pela Anomaly, portanto scanners de vulnerabilidade e alertas de dependência não detectam.
- Correção
- Atualizar para OpenCode 1.18.33 ou posterior. Mitigação complementar: inventariar instalações e revisar os servidores MCP remotos confiáveis. A Pillar Security alerta que a validação de esquema de URL, correção comumente recomendada, não bloqueia o ataque, pois o payload é uma URL https comum.
- Vetor
- Handshake OAuth com servidor MCP remoto. O OpenCode abria a URL de autorização fornecida pelo servidor sem validação; no Windows e WSL, a URL chegava ao PowerShell sem escape, permitindo execução de código com os privilégios do desenvolvedor. Sem interação do usuário, sem instalação de malware, sem exploração do modelo e sem prompt injection.
- Mais detalhes
- A mesma classe de vulnerabilidade apareceu em três CVEs em 2025 e reapareceu neste caso, segundo a Pillar Security. O produto é o agente de código IA open-source da Anomaly, com cerca de 3 milhões de downloads semanais no npm (número da Pillar Security).
Linha do tempo
Incidente aberto.
Fontes 2 fontes
- OpenCode Flaw Lets Malicious MCP Servers Execute Code During Sign-In on Windows and WSL The Hacker News
- Pillar Security disclosure post on X Pillar Security
