Pesquisadores de segurança da Koi alertaram sobre um risco significativo em forks populares do Microsoft Visual Studio Code (VS Code), como Cursor e Windsurf. Esses ambientes de desenvolvimento integrados (IDEs) recomendam extensões que não estão registradas no Open VSX, o que pode permitir que atacantes publiquem pacotes maliciosos sob esses nomes. A recomendação de extensões pode ocorrer de duas formas: notificações quando arquivos específicos são abertos ou sugestões baseadas em programas já instalados. O problema é que as extensões recomendadas não existem no Open VSX, e qualquer um pode registrar esses nomes e carregar o que quiser. Um exemplo é a extensão PostgreSQL, que atraiu mais de 500 instalações, levando a um risco de roubo de dados sensíveis. Após a divulgação responsável, algumas plataformas já implementaram correções, e o Eclipse Foundation removeu contribuições não oficiais do Open VSX. Este incidente destaca a necessidade de cautela ao baixar pacotes e a importância de verificar a origem das extensões recomendadas.
Fonte: https://thehackernews.com/2026/01/vs-code-forks-recommend-missing.html
⚠️BR DEFENSE CENTER: SECURITY BRIEFING
06/01/2026 • Risco: ALTO
VULNERABILIDADE
Risco de Segurança em Extensões do VS Code Aumenta com AI
RESUMO EXECUTIVO
A segurança das extensões do VS Code é crítica, pois a instalação de pacotes maliciosos pode levar ao comprometimento de dados sensíveis. A falta de controle no Open VSX e a facilidade de registro de extensões aumentam o risco para desenvolvedores e empresas. É essencial que as organizações implementem medidas de verificação rigorosas para proteger suas operações.
💼 IMPACTO DE NEGÓCIO
Financeiro
Potenciais perdas financeiras devido ao roubo de dados e interrupções operacionais.
Operacional
Roubo de dados sensíveis, incluindo credenciais e código-fonte.
Setores vulneráveis
['Tecnologia da Informação', 'Desenvolvimento de Software']
📊 INDICADORES CHAVE
Mais de 500 instalações da extensão PostgreSQL maliciosa.
Indicador
Extensões recomendadas não registradas no Open VSX.
Contexto BR
Número de forks do VS Code afetados (Cursor, Windsurf, Google Antigravity, Trae).
Urgência
⚡ AÇÕES IMEDIATAS
1
Verificar as extensões instaladas e suas origens.
2
Desabilitar recomendações automáticas de extensões até que a situação seja avaliada.
3
Monitorar continuamente as atualizações de segurança e as recomendações de extensões nos IDEs utilizados.
🇧🇷 RELEVÂNCIA BRASIL
CISOs devem se preocupar com a segurança das ferramentas de desenvolvimento que suas equipes utilizam, especialmente em um cenário onde a confiança nas recomendações de software pode ser explorada por atacantes.
⚖️ COMPLIANCE
Implicações legais relacionadas à LGPD e à proteção de dados pessoais.
Este conteúdo foi processado automaticamente pelo BR Defense Center (By River de Morais e Silva).
