【已复现】OpenCode 远程代码执行漏洞(CVE-2026-22812)

01漏洞详情>>>>

影响组件

OpenCode 是一个开源的 AI 编码代理工具，支持在终端、IDE 或桌面应用中使用。它兼容 75 多家大模型提供商，也内置免费模型，并强调不会存储用户的代码或上下文数据，支持多会话并行、自动加载语言服务器协议、会话链接分享等功能。

>>>>

漏洞描述

近日，奇安信CERT监测到官方修复OpenCode 远程代码执行漏洞(CVE-2026-22812)，该漏洞源于在 1.0.216 版本之前，OpenCode 会默认启动一个未经身份验证的 HTTP 服务器，允许未经授权的远程攻击者通过本地进程或宽松的 CORS 策略的网站以用户的权限执行任意 shell 命令。目前该漏洞PoC和技术细节已公开。鉴于该漏洞影响范围较大，建议客户尽快做好自查及防护。
02影响范围>>>>

影响版本

Opencode < 1.0.216>>>>

其他受影响组件

无

03复现情况

目前，奇安信威胁情报中心安全研究员已成功复现OpenCode 远程代码执行漏洞(CVE-2026-22812)，截图如下：

04处置建议>>>>

安全更新

官方已发布安全补丁，请及时更新至最新版本：

Opencode >= 1.0.216

下载地址：

https://github.com/anomalyco/opencode/releases

05参考资料

[1]https://github.com/anomalyco/opencode/security/advisories/GHSA-vxw4-wv6m-9hhh

文章来源：奇安信CERT