漏洞概述 | |||
漏洞名称 | OpenCode 远程代码执行漏洞 | ||
漏洞编号 | QVD-2026-3051，CVE-2026-22812 | ||
公开时间 | 2026-01-12 | 影响量级 | 万级 |
奇安信评级 | 高危 | CVSS 3.1分数 | 8.8 |
威胁类型 | 代码执行 | 利用可能性 | 高 |
POC状态 | 已公开 | 在野利用状态 | 未发现 |
EXP状态 | 已公开 | 技术细节状态 | 已公开 |
危害描述：攻击者可以利用此漏洞执行任意shell命令，获取用户权限，进而控制整个系统。 | |||
01 漏洞详情
影响组件
OpenCode 是一个开源的 AI 编码代理工具，支持在终端、IDE 或桌面应用中使用。它兼容 75 多家大模型提供商，也内置免费模型，并强调不会存储用户的代码或上下文数据，支持多会话并行、自动加载语言服务器协议、会话链接分享等功能。
漏洞描述
近日，奇安信CERT监测到官方修复OpenCode 远程代码执行漏洞(CVE-2026-22812)，该漏洞源于在 1.0.216 版本之前，OpenCode 会默认启动一个未经身份验证的 HTTP 服务器，允许未经授权的远程攻击者通过本地进程或宽松的 CORS 策略的网站以用户的权限执行任意 shell 命令。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
02 影响范围
影响版本
Opencode < 1.0.216
其他受影响组件
无
03 复现情况
目前，奇安信威胁情报中心安全研究员已成功复现OpenCode 远程代码执行漏洞(CVE-2026-22812)，截图如下：
04 处置建议
安全更新
官方已发布安全补丁，请及时更新至最新版本：
Opencode >= 1.0.216
下载地址：
https://github.com/anomalyco/opencode/releases
05 参考资料
[1]https://github.com/anomalyco/opencode/security/advisories/GHSA-vxw4-wv6m-9hhh
声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
