Uma falha no agente de programação com IA OpenCode permitia que um servidor MCP (Protocolo de Contexto de Modelo) malicioso ou sequestrado executasse código na máquina de um desenvolvedor com Windows ou WSL (Subsistema do Windows para Linux) quando ele fazia login. O OpenCode se conecta a servidores MCP para adicionar ferramentas externas, e esse código seria executado com os mesmos acessos do próprio desenvolvedor.
Anomaly, empresa por trás do OpenCode, corrigiu a falha na versão 1.18.33, em 28 de setembro. A empresa não solicitou um CVE (Common Vulnerabilities and Exposures, identificador público de vulnerabilidades) nem publicou um aviso de segurança. Por isso, scanners de vulnerabilidade não vão sinalizar as versões que ainda estão em risco, que vão da 1.0.137 até a 1.18.32.
Durante esse login, o próprio servidor fornece o endereço da web para o qual o usuário é enviado, um “endpoint de autorização” OAuth (protocolo de autorização). No Windows e no WSL, o OpenCode entregava esse endereço a um auxiliar que o abre em um navegador. O auxiliar montava um comando do PowerShell em torno do endereço sem fazer o escape dos caracteres, de modo que um endereço escrito para carregar um comando do PowerShell executaria esse comando.
A etapa do navegador só é executada quando o desenvolvedor inicia o login, ao rodar opencode mcp auth ou fazer a requisição correspondente. Ter o servidor configurado ou abrir uma sessão não aciona a falha.
O atacante precisa controlar um servidor MCP remoto que o desenvolvedor tenha adicionado, e esse servidor não precisa ser hostil desde o início. Um servidor que seja invadido depois, ou um domínio que mude de mãos, poderia trazer o mesmo endereço.
A Pillar Security, que encontrou a falha e a divulgou em 19 de outubro, classifica-a como crítica, com pontuação de gravidade proposta de 9,8 em 10.
A falha afeta o OpenCode no Windows e no Subsistema do Windows para Linux (WSL). macOS e Linux não são afetados, porque o OpenCode abre o navegador nesses sistemas sem passar o endereço por um shell.
O OpenCode distribuiu a correção como uma mudança de rotina. O pull request que a continha é descrito como uma refatoração do código de abertura do navegador, e nem ele nem as notas da versão mencionam uma falha de segurança.
A Anomaly não solicitou um CVE nem publicou um aviso. Sua política de segurança afirma que os servidores MCP configurados pelo usuário estão “fora da nossa fronteira de confiança”.
A Pillar relatou a falha de forma privada em 29 de agosto e depois pediu à Anomaly que reconsiderasse e solicitasse um CVE. Segundo a Pillar, a resposta da Anomaly foi que um servidor MCP malicioso está fora do seu modelo de ameaças.
Como não há CVE, a falha não aparecerá em scanners nem em alertas de dependências. Por isso, identificar instalações afetadas exige verificar diretamente a versão do OpenCode. A Anomaly publicou avisos sobre outras falhas de execução de código no OpenCode este ano, incluindo uma corrigida em agosto.
O mesmo tipo de falha já apareceu antes. Em julho de 2025, o proxy mcp-remote apresentou um erro quase idêntico, em que o endpoint de autorização de um servidor malicioso chegava à linha de comando. Esse erro recebeu o identificador CVE-2025-6514.
O auxiliar de navegador do OpenCode é um pacote amplamente usado chamado open. Seu comportamento no Windows foi relatado como um risco de injeção de comando em 2023 e corrigido na versão 11 do open, mas o OpenCode continuou usando uma versão anterior.
A defesa usual para esse tipo de falha é verificar se o endereço usa HTTP ou HTTPS (protocolos de transferência de hipertexto). Isso não ajuda neste caso, porque o ataque usa um endereço HTTPS comum. O OpenCode também acrescentou essa verificação, mas a brecha só foi fechada com a atualização para a versão corrigida.
O que fazer
Quem usa o OpenCode no Windows ou no WSL deve atualizar o programa e verificar a quais servidores está conectado.
- Atualize para o OpenCode 1.18.33 ou posterior.
- Se ainda não for possível atualizar, remova da configuração do OpenCode os servidores MCP remotos que não foram avaliados.
- Execute opencode mcp list para ver quais servidores estão configurados.
A Pillar não encontrou sinais de que a falha tenha sido usada em ataques e não publicou indicadores para verificar explorações anteriores. A falha é separada de uma violação do Console hospedado do OpenCode, divulgada na mesma época, que pode ter expostas as chaves de API armazenadas por alguns usuários para OpenAI, Anthropic e Google.
