---
title: "OpenHuman の CVE-2026-54141・CVE-2026-54143: 0.57.13 より前で、外部チャネルのメッセージから承認なしに OS コマンドを実行される恐れ（CVSS 9.0・9.8）"
url: https://n-t-p.io/worldsecurity/articles/openhuman-cve-2026-54141-54143-agent-approval-bypass-yuanbao-dm-node-exec-and-persistent-shell-cron
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 緊急
cve: CVE-2026-54141, CVE-2026-54143
---

# OpenHuman の CVE-2026-54141・CVE-2026-54143: 0.57.13 より前で、外部チャネルのメッセージから承認なしに OS コマンドを実行される恐れ（CVSS 9.0・9.8）

> **TL;DR:** OpenHuman 0.57.13 より前で、外部チャネルにメッセージを送れる攻撃者が、人の承認なしに JavaScript・OS コマンドの実行（CVE-2026-54141）や永続的なシェル cron ジョブの作成（CVE-2026-54143）をエージェントに行わせられる恐れ。NVD 評価は CVSS v3.1 9.0・9.8（PR:N）。0.57.13 で修正。

**要点**
- 承認の仕組みが、承認の文脈のない外部チャネルの処理を「非対話」とみなして実行を許す（CVE-2026-54141）。Yuanbao チャネルの DM が既定で開かれている点が前提。
- 外部チャネルの送信者が、承認なしに永続的なシェル cron ジョブを作らせられ、あとでスケジューラーが実行ユーザーの権限で実行する（CVE-2026-54143）。
- 評価は CVSS v3.1 9.0（AC:H・S:C）と 9.8。どちらも認証不要のため severity 案は critical。外部チャネルの設定が前提で、54141 は Node の有効化とモデルの選択も要る。
- 修正版は 0.57.13。更新と、外部チャネルの接続・実行ユーザーの権限の見直しを。悪用の実態・参照先の勧告は未確認。

OpenHuman（デスクトップアプリと Rust ライブラリで使えるオープンソースのエージェント基盤）の 0.57.13 より前で、外部チャネル経由のメッセージによって、人の承認なしに OS コマンドが実行される欠陥 2 件（**CVE-2026-54141**・**CVE-2026-54143**）が NVD に登録されました。登録は 2026-11-05 で、評価はまだ確定していない状態（Received）です。どちらも 0.57.13 で修正されたと記載されています。

## 何が起きるか
### CVE-2026-54141: Yuanbao チャネルの DM で承認なしに JavaScript・OS コマンドを実行
- 設定済みの Yuanbao チャネルが受けた DM は、対話的な承認の文脈を持たない通常のエージェント処理に変換されます。
- 既定の Supervised 方針で Node が有効だと、`node_exec` は承認を求める書き込み操作のはずですが、承認の仕組み（ApprovalGate）が承認の文脈の欠落を「非対話の処理」とみなして実行を許します。
- Yuanbao の DM は既定で開かれているため、接続されたボットにメッセージを送れる外部の送信者が、モデルを誘導して OpenHuman のユーザー権限で JavaScript や OS コマンドを実行させられる恐れがあります。
- 悪用には、Yuanbao チャネルの設定、承認が必要な既定の方針、Node が使えること、モデルが `node_exec` を選ぶことが必要とされています。弱点の種別は CWE-94・CWE-862 です。

### CVE-2026-54143: 外部チャネルの送信者が永続的なシェル cron ジョブを作らせられる
- 設定済みの外部チャネルにメッセージを送れる攻撃者が、人の承認なしにエージェントへ永続的なシェル cron ジョブを作らせられます。スケジューラーが後でそのジョブを OpenHuman の実行ユーザーの権限で実行します。
- コマンド検証は先頭の環境変数の代入を許すため、許可済みのコマンドを実行可能な補助ファイルへ向け直せます。実証された悪用には、適した補助の実行ファイルがホストに既にあることが必要とされています。
- OpenHuman が扱えるデータや資源が侵害され、不正なコマンドが居座り続ける恐れがあります。弱点の種別は CWE-78・CWE-285 です。

## 影響を受ける版
| 対象 | 影響する版 | 修正版 |
|---|---|---|
| OpenHuman | 0.57.13 より前 | 0.57.13 |

## 評価
| CVE | 評価元 | 版 | 点数 | ベクター |
|---|---|---|---|---|
| CVE-2026-54141 | NVD（Secondary: GitHub） | CVSS v3.1 | 9.0（Critical） | AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H |
| CVE-2026-54143 | NVD（Secondary: GitHub） | CVSS v3.1 | 9.8（Critical） | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |

- どちらも認証不要（PR:N）で、点数は 9 以上です。基準にそって severity は **critical** を案とします。確定はオーナーの判断待ちです。
- 54141 は攻撃の条件が厳しい（AC:H）うえ、Yuanbao チャネルの設定が前提です。54143 も外部チャネルの設定が前提で、実証には補助ファイルが要ります。外部チャネルを使っていない環境では、影響は小さくなります。
- FIRST の EPSS は、取得時点（2026-11-06）でまだ値がありません。CISA の KEV には、手元の状態ファイル上で掲載がありません。

## 対策として考えられること
1. OpenHuman を 0.57.13 以降へ更新します。
2. すぐ更新できない場合は、Yuanbao など外部チャネルの接続を止めるか、送信できる相手を限定します。
3. エージェントの実行ユーザーを、必要最小限の権限にします。
4. 既存の cron ジョブに、身に覚えのないシェルのジョブがないか点検します。

## 未確認の点
- 実際の悪用の有無（NVD の記述に悪用の記載はありません）。
- 参照先の GitHub 勧告（GHSA-gg3m-wgmq-vhmx・GHSA-f46p-6vf9-64mm）、修正のコミット、プルリクエスト、リリース v0.57.13 の中身（本稿では開いていません）。
- 影響する版の下限。
- NVD の最終評価。


## 出典
- [NVD CVE-2026-54141](https://nvd.nist.gov/vuln/detail/CVE-2026-54141) — NIST NVD
- [NVD CVE-2026-54143](https://nvd.nist.gov/vuln/detail/CVE-2026-54143) — NIST NVD
- [OpenHuman セキュリティ勧告 GHSA-gg3m-wgmq-vhmx（NVD の参照先。未取得）](https://github.com/tinyhumansai/openhuman/security/advisories/GHSA-gg3m-wgmq-vhmx) — OpenHuman
- [OpenHuman セキュリティ勧告 GHSA-f46p-6vf9-64mm（NVD の参照先。未取得）](https://github.com/tinyhumansai/openhuman/security/advisories/GHSA-f46p-6vf9-64mm) — OpenHuman
- [OpenHuman リリース v0.57.13（NVD の参照先。未取得）](https://github.com/tinyhumansai/openhuman/releases/tag/v0.57.13) — OpenHuman
- [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-54141,CVE-2026-54143) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/openhuman-cve-2026-54141-54143-agent-approval-bypass-yuanbao-dm-node-exec-and-persistent-shell-cron