OpenHands Agent SDK のサンドボックスが認証なしで外部公開され未認証RCE（CVSS 9.8）

Critical（CVSS 9.8）に分類されるOpenHands OpenHands Software Agent SDK（1.52.0 未満）の脆弱性です。**AI コーディングエージェント OpenHands の Software Agent SDK（1.52.0 未満）で、サンドボックス内のエージェントサーバーが認証なしで全インターフェースに公開される。** NVD と VulnCheck のアドバイザリ（2026年10月26日公開）によれば、DockerWorkspace と Apptainer のワークスペース起動処理が、サンドボックスのエージェントサーバーを 0.0.0.0 に公開し、しかも session_api_keys が空のまま起動するため、既定で認証が無効になっている。公開されたコンテナのポートに届く攻撃者は、認証なしの HTTP / WebSocket 要求でサンドボックス内の root として任意のシェルコマンドを実行でき、マウントされたワークスペースの読み書きや、シークレットストアに平文で置かれた秘密情報の読み取りもできる。 **評価値。** NVD に登録された VulnCheck の採点は CVSS 3.1 で **9.8 Critical**、CVSS 4.0 で 9.3。NVD の分析は Awaiting Analysis（未分析）。CISA KEV には収載されておらず、悪用の報告は確認できていない。

**OpenHands Software Agent SDK を 1.52.0 以降へ上げる。** VulnCheck のアドバイザリと NVD は 1.52.0 を修正版としている。1.52.0 に含まれる修正（PR #5209）では、DockerWorkspace のポート公開をホストのループバック（127.0.0.1）に限定し、設定したセッション API キーをクライアントへ渡すようにした。 **すぐ上げられない場合。** 開発元・VulnCheck とも正式な回避策は示していない。少なくとも、サンドボックスのコンテナが公開しているポートに外部や他の利用者から届かないよう、ホストのファイアウォールやクラウドのセキュリティグループで遮断する。共有ホストや外部から到達できるサーバーで SDK を動かしている場合は最優先で更新する。 **侵害の確認。** 脆弱な版でポートが外部から届く状態だった場合は、ワークスペースに置いた API キーやトークンなど、シークレットストアに入れていた秘密情報を入れ替える。 **完了条件**は、SDK を使う全ての環境が 1.52.0 以降であること。

OpenHands OpenHands Software Agent SDK（1.52.0 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-112346）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。