OpenHands Agent SDKに認証不要RCE。公開されたサンドボックスに重大リスク

OpenHands Software Agent SDK 1.52.0未満で、DockerWorkspaceなどのサンドボックスエージェントサーバーが外部到達可能な場合に認証不要のコマンド実行につながるCVE-2026-112346（CVSS 9.3）。

30秒でわかる / THE SIGNAL

何が起きたか

OpenHands Software Agent SDKのサンドボックスエージェントサーバーで、外部インターフェース（0.0.0.0）へのバインドと空のsession_api_keysにより、到達可能な攻撃者が認証なしにHTTPやWebSocketでコマンドを実行できる恐れがある。CVE-2026-112346、CVSS v4.0 9.3。

影響範囲と条件

1.52.0未満が影響する。DockerWorkspaceやApptainerのエージェントサーバーへネットワークから到達できる場合、サンドボックス内でのコマンド実行やワークスペース・秘密情報へのアクセスにつながり得る。外部到達できない構成で同じ攻撃が成立するとは限らない。

修正版と対処

1.52.0以降へ更新する。エージェントサーバーを外部公開しない構成を基本とし、認証用APIキーの有効化、公開ポート、コンテナのマウント範囲、秘密情報の扱いを点検する。公式リリース：https://github.com/OpenHands/software-agent-sdk/releases/tag/v1.52.0

悪用状況と編集部の視点

2026年10月27日時点、確認した情報から実環境での悪用を断定できない。AIエージェントの安全性はモデルの指示だけでなく、実行基盤のネットワーク境界と権限分離にも依存する。