Uma falha no agente de programação com IA OpenCode permitia que um servidor MCP malicioso ou comprometido executasse código no computador Windows ou no ambiente WSL de um desenvolvedor durante o início de uma sessão. O OpenCode se conecta a servidores MCP, ou servidores do Protocolo de Contexto de Modelo, para adicionar ferramentas externas. O código seria executado com os mesmos privilégios do desenvolvedor.
A Anomaly, empresa responsável pelo OpenCode, corrigiu a falha na versão 1.18.33, em 28 de setembro. A companhia não solicitou a atribuição de um CVE nem publicou um alerta de segurança. Por isso, ferramentas de verificação de vulnerabilidades não identificarão a falha nas versões ainda afetadas, da 1.0.137 à 1.18.32.
Ao iniciar a autenticação, o próprio servidor fornece o endereço da página para a qual o usuário será encaminhado, chamado de endpoint de autorização do OAuth. No Windows e no WSL, o OpenCode repassava esse endereço a um componente auxiliar que o abria no navegador. Esse componente montava um comando do PowerShell com o endereço, mas não escapava seus caracteres especiais. Assim, um endereço preparado para incluir um comando do PowerShell podia levar à execução desse comando.
Essa etapa só é acionada quando o desenvolvedor inicia a autenticação, executando `opencode mcp auth` ou fazendo a solicitação correspondente. Ter o servidor configurado ou simplesmente abrir uma sessão não basta para acionar a falha.
Para explorar o problema, o invasor precisa controlar um servidor MCP remoto que o desenvolvedor tenha adicionado. O servidor não precisa ser malicioso desde o início: um serviço comprometido posteriormente ou um domínio que passe para outras mãos poderia fornecer o mesmo tipo de endereço.
A Pillar Security, que identificou a falha e a divulgou em 19 de outubro, classificou o problema como crítico e propôs uma pontuação de gravidade de 9,8 em 10.
A falha afeta o OpenCode no Windows e no Subsistema do Windows para Linux (WSL). macOS e Linux não são afetados, pois nesses sistemas o OpenCode abre o navegador sem passar o endereço por um interpretador de comandos.
O OpenCode distribuiu a correção como uma alteração rotineira. A pull request que a incluiu descreve uma reorganização do código responsável por abrir o navegador, mas nem ela nem as notas de versão mencionam uma falha de segurança.
A Anomaly não solicitou a atribuição de um CVE nem publicou um alerta. A política de segurança da empresa afirma que os servidores MCP configurados pelo usuário estão “fora dos limites de confiança” da companhia.
A Pillar comunicou o problema em particular à Anomaly em 29 de agosto e, mais tarde, pediu que a empresa reconsiderasse sua decisão e solicitasse um CVE. Segundo a Pillar, a Anomaly respondeu que um servidor MCP malicioso está fora de seu modelo de ameaças.
Sem um CVE, a falha não aparecerá em ferramentas de verificação nem em alertas de dependências. Para identificar instalações afetadas, é necessário conferir diretamente a versão do OpenCode. A Anomaly publicou alertas sobre outras falhas de execução de código no OpenCode neste ano, incluindo uma corrigida em agosto.
Problemas semelhantes já foram identificados. Em julho de 2025, o intermediário mcp-remote apresentou uma falha quase idêntica: o endpoint de autorização de um servidor malicioso era encaminhado à linha de comando. O caso recebeu o identificador
CVE-2025-6514
.
O componente auxiliar do OpenCode para abrir páginas no navegador usa um pacote bastante difundido chamado `open`. O comportamento desse pacote no Windows foi apontado como um risco de injeção de comandos em 2023 e corrigido na versão 11. O OpenCode, porém, continuou usando uma versão anterior.
Uma defesa comum contra esse tipo de falha é verificar se o endereço usa HTTP ou HTTPS. Essa medida não resolve o problema neste caso, pois o ataque usa um endereço HTTPS comum. O OpenCode também adicionou essa verificação, mas a falha só foi eliminada com a atualização para a versão corrigida do pacote.
**O que fazer**
Quem usa o OpenCode no Windows ou no WSL deve atualizar o programa e verificar a quais servidores está conectado.
- Atualize para o OpenCode 1.18.33 ou posterior.
- Se não puder atualizar agora, remova da configuração do OpenCode os servidores MCP remotos que ainda não foram verificados.
- Execute `opencode mcp list` para consultar os servidores configurados.
A Pillar não encontrou indícios de que a falha tenha sido usada em ataques e não publicou indicadores para verificar possíveis explorações anteriores. O problema é diferente de uma violação de segurança no Console hospedado do OpenCode, divulgada por volta da mesma época, que pode ter exposto as chaves de API armazenadas por alguns usuários para OpenAI, Anthropic e Google.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...