OpenCode: ثغرة حرجة تسمح لخوادم MCP الخبيثة بتنفيذ التعليمات البرمجية على Windows

بدرجة خطورة مقترحة بلغت 9.8 من أصل 10، صنفت Pillar Security ثغرة حرجة في وكيل البرمجة OpenCode AI تسمح لخوادم Model Context Protocol (MCP) الخبيثة بتنفيذ تعليمات برمجية عن بعد على أنظمة Windows وWindows Subsystem for Linux (WSL) للمطورين. تم اكتشاف الثغرة التي تؤثر على الإصدارات من 1.0.137 حتى 1.18.32، وتصحيحها من قبل Anomaly، الشركة المطورة لـ OpenCode، في الإصدار 1.18.33 بتاريخ 28 سبتمبر 2026. يُشكل هذا الخلل تهديدًا مباشرًا للبيئات التطويرية، حيث يمكن أن تعمل التعليمات البرمجية المنفذة بامتيازات المطور نفسه.

اللافت هو أن Anomaly لم تطلب رقم CVE ولم تنشر استشارية أمنية، مما يترك الآلاف من عمليات التثبيت عرضة للهجوم دون تنبيه من الماسحات الأمنية التقليدية. تُبرز هذه الحادثة قصورًا في منهجية الإفصاح عن الثغرات، وتضع مسؤولية التحقق المباشر من الإصدار على عاتق المستخدمين لتجنب التعرض المحتمل.

التحليل التقني

تكمن الآلية الأساسية للثغرة في كيفية تعامل OpenCode مع نقاط نهاية التخويل (authorization endpoints) لبروتوكول OAuth خلال عملية تسجيل الدخول. عند قيام المطور بتشغيل أمر opencode mcp auth أو إجراء طلب مماثل، يطلب وكيل OpenCode من خادم MCP المعني عنوان URL لنقطة نهاية التخويل. على أنظمة Windows وWSL فقط، يمرر OpenCode هذا العنوان إلى أداة مساعدة خارجية لفتح المتصفح. المشكلة الأساسية هي أن هذه الأداة المساعدة تقوم بإنشاء أمر PowerShell حول عنوان URL المستلم دون إجراء عملية الهروب (escaping) المناسبة للمحارف الخاصة. هذا الخطأ يسمح لعنوان URL الذي يتم التحكم فيه من قبل المهاجم بتضمين أوامر PowerShell إضافية، والتي يتم تنفيذها مباشرة بواسطة النظام.

آلية الاستغلال والسياق التاريخي

تؤثر هذه الثغرة على مجموعة واسعة من إصدارات OpenCode، تحديداً من 1.0.137 وصولاً إلى 1.18.32. من المهم ملاحظة أن أنظمة macOS وLinux ليست متأثرة، وذلك لأن OpenCode يفتح المتصفح فيها مباشرة دون تمرير العنوان عبر غلاف الأوامر (shell)، بخلاف ما يحدث في Windows وWSL. بينما قامت Anomaly بإصدار التحديث 1.18.33 في 28 سبتمبر 2026، والذي عالج الخلل، إلا أنهم لم يُصدروا أي إشعار أمني أو طلب رقم CVE لتصنيف الثغرة. يتطلب الاستغلال الناجح أن يكون المهاجم قد سيطر على خادم MCP بعيد أضافه المطور مسبقًا، أو أن يسيطر على نطاق يقوم بتغيير الملكية.

• النسخ المتأثرة: OpenCode 1.0.137 حتى 1.18.32.
• الإصدار المصحح: OpenCode 1.18.33.
• آلية المساعدة: تعتمد OpenCode على حزمة open لفتح المتصفحات.
• سابقة تاريخية: تم الإبلاغ عن مخاطر حقن الأوامر في حزمة open عام 2023 وتم إصلاحها في الإصدار 11، لكن OpenCode استمر في استخدام إصدار أقدم.
• ثغرة مشابهة: في يوليو 2025، حمل وكيل mcp-remote ثغرة متطابقة تقريباً وتم تخصيص CVE-2025-6514 لها.

الحل الذي طبقته Anomaly تضمن تحديث حزمة open المستخدمة إلى الإصدار المصحح، وليس مجرد إضافة فحص لبروتوكولي HTTP أو HTTPS، وهو فحص لن يمنع الاستغلال هنا لأن الهجوم يستخدم عناوين HTTPS عادية. ومع ذلك، قامت الشركة بإضافة هذا الفحص أيضاً كجزء من التحديث، لكن الإصلاح الجذري جاء من تحديث الإصدار. لم تُبلغ Pillar Security عن أي مؤشرات على استغلال هذه الثغرة في هجمات فعلية.

السياق وتأثير السوق

في سوق أدوات البرمجة المدعومة بالذكاء الاصطناعي، تُشكل الثغرات الأمنية مثل تلك الموجودة في OpenCode ضربة مزدوجة، فهي لا تعرض بيانات المطورين للخطر فحسب، بل تُقلل أيضاً من الثقة في الأدوات التي تهدف إلى تبسيط عملية التطوير. سلوك Anomaly بعد اكتشاف الثغرة، والذي تضمن عدم طلب رقم CVE أو إصدار إشعار أمني، يتعارض بشكل مباشر مع أفضل الممارسات الصناعية. تقليدياً، تُعد أرقام CVE العمود الفقري للاتصالات الأمنية، حيث تُمكّن المؤسسات من تحديد الثغرات، وتقييم المخاطر، وتطبيق التصحيحات بسرعة عبر أدوات إدارة الثغرات الشائعة. بغياب CVE، تُجبر الشركات على إجراء مراجعات يدوية لإصدارات OpenCode، مما يزيد من وقت الاستجابة ويعرضها لفترة أطول للخطر.

تُشير Anomaly إلى أن خوادم MCP التي يُكوّنها المستخدم تقع "خارج حدود الثقة الخاصة بها" وفقاً لسياستها الأمنية. هذا الموقف، وإن كان قد يكون مقبولاً نظرياً في بعض السياقات، فإنه يُظهر تجاهلاً لمسؤوليتها عن ضمان أن يكون العميل الخاص بها (OpenCode) مقاومًا للإدخالات الضارة حتى من مصادر "غير موثوق بها". المقارنة هنا واضحة مع حادثة mcp-remote في يوليو 2025، التي كانت تحمل عيباً متطابقاً تقريباً وتم تخصيص CVE-2025-6514 لها، مما يُظهر وجود سابقة واضحة لهذا النوع من الثغرات وآلية الإفصاح عنها. بينما قامت Anomaly بإصدار استشارات أمنية لثغرات أخرى في OpenCode هذا العام، بما في ذلك ثغرة تم إصلاحها في أغسطس، فإن التناقض في التعامل مع هذه الثغرة بالذات يثير تساؤلات حول معاييرها الأمنية الداخلية. هذا السلوك يدفع المطورين للبحث عن بدائل توفر شفافية أكبر وممارسات أمنية أكثر اتساقاً.

تنفصل هذه الثغرة عن اختراق لـ OpenCode Console كُشف عنه في نفس الفترة، والذي ربما يكون قد عرض مفاتيح API لبعض المستخدمين في OpenAI وAnthropic وGoogle للخطر.