🔐 CVE-2026-22812 - OpenCode 未认证 HTTP 服务器 → 远程代码执行 (RCE)

---

CVE-2026-22812 的安全公告、技术分析、检测指南与缓解说明

📌 概述

CVE-2026-22812 是一个影响 早于 1.0.216 版本的 OpenCode 的高危远程代码执行 (RCE) 漏洞。

问题在于 OpenCode 会自动启动一个未认证的本地 HTTP 服务器，以下来源均可访问它：

• 本地恶意进程
• 通过宽松 CORS 策略访问的浏览器标签页
• 被注入的 Web 内容
• localhost 跨源请求

攻击者可借此以当前用户的权限执行任意 shell 命令

🚨 严重程度

来源：NVD / GitHub Advisory

🧠 技术根因

受影响版本会自动暴露一个无认证的 localhost HTTP 服务。

由于该服务还接受来自宽松跨源来源的请求，任何恶意网页都可以触发如下请求：

POST /session/:id/shell

这可能导致：

• 任意命令执行
• 凭据窃取
• 源代码窃取
• SSH 密钥泄露
• 云令牌失陷
• 本地持久化

💥 影响

成功利用可能导致：

• 🔓 开发人员工作站被完全入侵
• 🗝️ 机密信息泄露（.env、SSH、API 令牌）
• 📂 未经授权的源代码访问
• ☁️ 云 CLI 会话劫持
• 🧪 供应链入侵风险
• 🖥️ 以登录用户身份执行任意 shell 命令

📸 截图

📦 受影响版本

Vulnerable: < 1.0.216
Safe:       >= 1.0.216

🛠️ 缓解措施

✅ 推荐修复方案

立即升级：

npm update opencode

或安装安全版本：

npm install [email protected]

🧱 临时缓解措施

如果无法立即升级：

• 限制 localhost 端口访问
• 将 OpenCode 隔离在容器内运行
• 阻止可疑的 localhost 请求
• 关闭不受信任的浏览器标签页
• 轮换已泄露的凭据
• 如可配置，禁用宽松的 CORS 策略

🔍 检测建议

可能被利用的迹象：

• OpenCode 派生的异常 shell 命令
• 可疑的 localhost POST 请求
• 来自浏览器对 OpenCode 端口的请求
• 项目目录中出现意外的文件访问
• 异常的终端子进程

建议的遥测数据：

• EDR 进程树监控
• localhost HTTP 访问日志
• shell 执行审计
• 浏览器安全遥测

🧪 PoC 状态

⚠️ 公告讨论中已存在公开的利用细节。

出于负责任披露和安全考虑，请避免在公开的生产仓库中发布武器化的 PoC。

📚 参考资料

• NVD 公告 NVD CVE 条目
• OSV 数据库 OSV 条目
• 厂商公告 GitHub 安全公告

⚖️ 免责声明

本仓库仅供以下用途：

• 防御性安全研究
• 蓝队意识提升
• 补丁验证
• 漏洞管理
• 安全开发教育

请勿在您不拥有或未经许可测试的系统上使用此信息。