OpenHuman の CVE-2026-54141・CVE-2026-54143: 0.57.13 より前で、外部チャネルのメッセージから承認なしに OS コマンドを実行される恐れ（CVSS 9.0・9.8）

OpenHuman（デスクトップアプリと Rust ライブラリで使えるオープンソースのエージェント基盤）の 0.57.13 より前で、外部チャネル経由のメッセージによって、人の承認なしに OS コマンドが実行される欠陥 2 件（CVE-2026-54141・CVE-2026-54143）が NVD に登録されました。登録は 2026-11-05 で、評価はまだ確定していない状態（Received）です。どちらも 0.57.13 で修正されたと記載されています。

何が起きるか

CVE-2026-54141: Yuanbao チャネルの DM で承認なしに JavaScript・OS コマンドを実行

• 設定済みの Yuanbao チャネルが受けた DM は、対話的な承認の文脈を持たない通常のエージェント処理に変換されます。
• 既定の Supervised 方針で Node が有効だと、node_exec は承認を求める書き込み操作のはずですが、承認の仕組み（ApprovalGate）が承認の文脈の欠落を「非対話の処理」とみなして実行を許します。
• Yuanbao の DM は既定で開かれているため、接続されたボットにメッセージを送れる外部の送信者が、モデルを誘導して OpenHuman のユーザー権限で JavaScript や OS コマンドを実行させられる恐れがあります。
• 悪用には、Yuanbao チャネルの設定、承認が必要な既定の方針、Node が使えること、モデルが node_exec を選ぶことが必要とされています。弱点の種別は CWE-94・CWE-862 です。

CVE-2026-54143: 外部チャネルの送信者が永続的なシェル cron ジョブを作らせられる

• 設定済みの外部チャネルにメッセージを送れる攻撃者が、人の承認なしにエージェントへ永続的なシェル cron ジョブを作らせられます。スケジューラーが後でそのジョブを OpenHuman の実行ユーザーの権限で実行します。
• コマンド検証は先頭の環境変数の代入を許すため、許可済みのコマンドを実行可能な補助ファイルへ向け直せます。実証された悪用には、適した補助の実行ファイルがホストに既にあることが必要とされています。
• OpenHuman が扱えるデータや資源が侵害され、不正なコマンドが居座り続ける恐れがあります。弱点の種別は CWE-78・CWE-285 です。

影響を受ける版

対象	影響する版	修正版
OpenHuman	0.57.13 より前	0.57.13

評価

CVE	評価元	版	点数	ベクター
CVE-2026-54141	NVD（Secondary: GitHub）	CVSS v3.1	9.0（Critical）	AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
CVE-2026-54143	NVD（Secondary: GitHub）	CVSS v3.1	9.8（Critical）	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

• どちらも認証不要（PR:N）で、点数は 9 以上です。基準にそって severity は critical を案とします。確定はオーナーの判断待ちです。
• 54141 は攻撃の条件が厳しい（AC:H）うえ、Yuanbao チャネルの設定が前提です。54143 も外部チャネルの設定が前提で、実証には補助ファイルが要ります。外部チャネルを使っていない環境では、影響は小さくなります。
• FIRST の EPSS は、取得時点（2026-11-06）でまだ値がありません。CISA の KEV には、手元の状態ファイル上で掲載がありません。

対策として考えられること

1. OpenHuman を 0.57.13 以降へ更新します。
2. すぐ更新できない場合は、Yuanbao など外部チャネルの接続を止めるか、送信できる相手を限定します。
3. エージェントの実行ユーザーを、必要最小限の権限にします。
4. 既存の cron ジョブに、身に覚えのないシェルのジョブがないか点検します。

未確認の点

• 実際の悪用の有無（NVD の記述に悪用の記載はありません）。
• 参照先の GitHub 勧告（GHSA-gg3m-wgmq-vhmx・GHSA-f46p-6vf9-64mm）、修正のコミット、プルリクエスト、リリース v0.57.13 の中身（本稿では開いていません）。
• 影響する版の下限。
• NVD の最終評価。