Falhas em VS Code e Cursor põem 128 mi de devs em risco de ataque
Quatro vulnerabilidades, uma crítica, em VS Code, Cursor e Windsurf permitem movimentação lateral e ataques a organizações. Três seguem sem correção e expõem milhões de desenvolvedores.
Segurança Digital
Vulnerabilidades críticas em ferramentas populares ameaçam a segurança de milhões de desenvolvedores no mundo todo.
Leia também: Google lança Gemini Omni 1.2 Flash para gerar vídeos por IA
Quatro vulnerabilidades de segurança, incluindo uma crítica e duas de alta gravidade, foram identificadas por pesquisadores da OX Security em extensões usadas nos IDEs VS Code, Cursor e Windsurf e podem permitir movimentação lateral dentro de redes corporativas, abrindo caminho para ataques contra sistemas e dados sensíveis em organizações do mundo todo.
Falhas seguem abertas em Cursor e Windsurf
As vulnerabilidades atingem o Microsoft Visual Studio Code (VS Code) e suas versões derivadas Cursor e Windsurf, que adicionam recursos de codificação assistida por inteligência artificial. As extensões afetadas somam mais de 128 milhões de downloads, o que amplia o alcance potencial dos ataques.
De acordo com o relatório da OX Security, três das quatro falhas permanecem sem correção. Elas foram notificadas aos responsáveis por VS Code, Cursor e Windsurf em julho e agosto do ano anterior, por e-mail, GitHub e redes sociais, mas as equipes de Cursor e Windsurf ainda não responderam nem liberaram atualizações.
Essas três vulnerabilidades receberam identificadores CVE em 16 de fevereiro, reconhecendo oficialmente o risco. A exploração de qualquer uma delas pode permitir que um invasor use uma extensão comprometida para se movimentar lateralmente, alcançando outros sistemas internos da empresa e ampliando o impacto do ataque.
Correção silenciosa no VS Code não teve CVE
A quarta vulnerabilidade foi corrigida de forma silenciosa pela Microsoft na versão 0.4.16 do VS Code, lançada em setembro do ano anterior. Apesar da correção, a falha não foi tornada pública pela MITRE nem recebeu identificador CVE, o que reduz a transparência sobre o problema e pode dificultar que equipes de segurança avaliem o risco enfrentado no passado.
Na prática, apenas uma parte do ecossistema está protegida. Enquanto o VS Code já traz a correção para essa falha específica, as demais vulnerabilidades descritas pela OX Security continuam expostas, sobretudo nas plataformas derivadas Cursor e Windsurf, muito usadas por desenvolvedores que adotam ferramentas de IA para acelerar o desenvolvimento de software.
Entenda o contexto
As falhas foram detalhadas em relatório publicado em 17 de fevereiro. Os pesquisadores mostram como uma única vulnerabilidade em uma extensão é suficiente para que um atacante ganhe acesso inicial à máquina do desenvolvedor e, a partir daí, tente se mover para outros ativos da organização, como servidores internos, repositórios de código e bancos de dados.
No documento, os especialistas da OX Security afirmam que essas vulnerabilidades “revelam um ponto cego crítico na segurança do desenvolvimento moderno”. Eles reforçam que, mesmo com grandes investimentos em proteção de ambientes de produção, o elo frágil continua sendo a estação de trabalho do programador. “Embora as organizações invistam muito na segurança de seus ambientes de produção, a máquina local do desenvolvedor continua sendo uma porta de entrada amplamente desprotegida para os ativos mais sensíveis da organização”, alertam.
Três das falhas já contam com registro CVE desde 16 de fevereiro, mas seguem sem patch público. A ausência de resposta das equipes de Cursor e Windsurf desde as notificações enviadas no ano passado aumenta a pressão da comunidade de segurança para que haja correções rápidas e comunicação clara com os usuários.
Risco para milhões de desenvolvedores e empresas
Como VS Code, Cursor e Windsurf são amplamente usados em empresas de tecnologia, finanças, serviços e em startups, o problema extrapola o universo dos desenvolvedores individuais. Um ataque bem-sucedido por meio dessas vulnerabilidades pode dar acesso a código-fonte, chaves de acesso, credenciais e dados estratégicos, impactando diretamente a segurança de negócios inteiros.
O cenário é especialmente sensível porque as máquinas locais dos desenvolvedores muitas vezes têm permissões amplas e acesso direto a repositórios e ambientes internos. Isso transforma esses computadores em alvos prioritários para cibercriminosos, que buscam justamente pontos menos protegidos para, a partir deles, escalar privilégios e comprometer toda a infraestrutura.
O relatório da OX Security também lista recomendações práticas para usuários de IDEs e da ferramenta de codificação Vibe, sugerindo ajustes de configuração, revisão de permissões e atualizações imediatas sempre que novas versões forem liberadas. A expectativa agora é que a divulgação dos detalhes técnicos das falhas acelere a resposta dos fornecedores e leve organizações a revisar suas políticas de segurança para estações de desenvolvimento.
