Der Angriffsweg führt über den OAuth-Anmeldevorgang: Der MCP-Server liefert dabei selbst die Webadresse, an die der Nutzer geschickt wird – den sogenannten Authorization Endpoint. Unter Windows und WSL reichte OpenCode diese Adresse an eine Hilfskomponente weiter, die sie im Browser öffnet. Diese baute daraus einen PowerShell-Befehl, ohne die Adresse zu maskieren. Eine entsprechend präparierte Adresse brachte so einen PowerShell-Befehl zur Ausführung.
Ausgelöst wird der Browser-Schritt nur, wenn ein Entwickler die Anmeldung selbst startet – etwa über „opencode mcp auth" oder die entsprechende Anfrage. Allein einen Server zu konfigurieren oder eine Sitzung zu öffnen, genügt nicht. Voraussetzung ist zudem, dass der Angreifer einen vom Entwickler eingetragenen entfernten MCP-Server kontrolliert. Dieser muss nicht von Anfang an bösartig sein: Auch ein später übernommener Server oder eine Domain, die den Besitzer wechselt, kann dieselbe Adresse ausliefern.
macOS und Linux sind nicht betroffen, weil OpenCode den Browser dort ohne Umweg über eine Shell aufruft.
Anomaly, das Unternehmen hinter OpenCode, behob den Fehler am 28. September in Version 1.18.33. Die Korrektur wurde als gewöhnliche Änderung ausgeliefert: Der zugehörige Pull Request ist als Refactoring des Browser-Start-Codes beschrieben, weder er noch die Release Notes erwähnen eine Sicherheitslücke. Anomaly beantragte keine CVE-Nummer und veröffentlichte kein Advisory. Verwundbar bleiben die Versionen 1.0.137 bis 1.18.32; da keine CVE existiert, schlagen weder Schwachstellen-Scanner noch Abhängigkeits-Warnungen an. Betroffene Installationen lassen sich nur durch direkte Prüfung der OpenCode-Version finden.
Pillar meldete den Fehler am 29. August vertraulich und bat Anomaly später, die Entscheidung zu überdenken und doch eine CVE zu beantragen. Anomaly habe geantwortet, ein bösartiger MCP-Server liege außerhalb des eigenen Bedrohungsmodells, so Pillar. In der Sicherheitsrichtlinie des Unternehmens heißt es, vom Nutzer konfigurierte MCP-Server lägen „außerhalb unserer Vertrauensgrenze". Für andere Lücken zur Codeausführung in OpenCode hat Anomaly in diesem Jahr durchaus Advisories veröffentlicht, darunter für eine im August behobene.
Vergleichbare Fehler gab es zuvor schon: Im Juli 2025 steckte im Proxy mcp-remote ein nahezu identischer Bug, bei dem der Authorization Endpoint eines bösartigen Servers auf die Kommandozeile gelangte – er erhielt die Kennung CVE-2025-6514. Die von OpenCode genutzte Browser-Hilfskomponente ist das weit verbreitete Paket „open". Dessen Windows-Verhalten wurde bereits 2023 als Risiko für Command Injection gemeldet und in Version 11 von „open" behoben; OpenCode blieb jedoch auf einer älteren Ausgabe.
Die übliche Gegenmaßnahme dieser Fehlerklasse – zu prüfen, ob die Adresse HTTP oder HTTPS verwendet – greift hier nicht, da der Angriff mit einer gewöhnlichen HTTPS-Adresse auskommt. OpenCode ergänzte diese Prüfung zwar ebenfalls, geschlossen wurde die Lücke aber durch das Update auf die korrigierte Version.
Empfohlene Schritte für Nutzer unter Windows und WSL:
- Auf OpenCode 1.18.33 oder neuer aktualisieren.
- Ist ein Update nicht sofort möglich: alle nicht geprüften entfernten MCP-Server aus der OpenCode-Konfiguration entfernen.
- Mit „opencode mcp list" anzeigen, welche Server konfiguriert sind.
Pillar fand keine Hinweise darauf, dass die Lücke für Angriffe genutzt wurde, und veröffentlichte keine Indikatoren zur Prüfung auf frühere Ausnutzung. Der Fehler ist unabhängig von einem etwa zeitgleich offengelegten Einbruch in die gehostete OpenCode-Console, bei dem gespeicherte API-Schlüssel einiger Nutzer für OpenAI, Anthropic und Google offengelegt worden sein könnten.