MCP 启动路径即 RCE：opencode OAuth 缺陷与 Copilot CVE-2026-103572

CSA 研究笔记分析 2026 年 10 月披露的两起 AI 编码工具远程代码执行漏洞，共同点是攻击者可控数据到达 MCP 集成的进程启动代码。Pillar Security 研究员 Eilon Cohen 发现，opencode 1.0.137 至 1.18.32 在 Windows 和 WSL 上，远程 MCP 服务器可在 OAuth 授权端点植入 PowerShell 子表达式，客户端打开浏览器登录时执行，1.18.33 升级 open 包修复；厂商未申请 CVE，并称恶意 MCP 服务器不在其威胁模型内。笔记建议升级 opencode 至 1.18.33 或更高、应用 2026 年 10 月 Visual Studio 安全更新，因 opencode 修复无 CVE、扫描器难以标记，需直接排查版本，并把 MCP 启动配置当作可执行代码对待。