Falhas críticas em extensões do VS Code com 125 milhões de downloads permitem roubo de dados e ataques RCE
Pesquisadores divulgaram múltiplas vulnerabilidades críticas em quatro extensões populares do Microsoft Visual Studio Code (VS Code) que, se exploradas com sucesso, podem permitir que hackers roubem arquivos locais e executem código remotamente nas máquinas de desenvolvedores.
As extensões afetadas Live Server, Code Runner, Markdown Preview Enhanced e Microsoft Live Preview somam mais de 125 milhões de instalações. Segundo o relatório técnico, basta uma única extensão maliciosa ou apenas uma falha explorável em uma extensão legítima para que um invasor consiga se movimentar lateralmente na rede e comprometer ambientes corporativos inteiros.
As vulnerabilidades identificadas
Entre as falhas descobertas, destacam-se:
CVE-2025-65717 (CVSS 9.1) – Live Server -⚠️ Ainda não corrigida.
Permite a exfiltração de arquivos locais. O ataque ocorre quando o desenvolvedor, com a extensão ativa, visita um site malicioso. Um código JavaScript embutido na página consegue acessar o servidor HTTP local (localhost:5500), vasculhar arquivos e enviá-los para um domínio controlado pelo hacker.
CVE-2025-65716 (CVSS 8.8) – Markdown Preview Enhanced -⚠️ Ainda não corrigida.
Possibilita a execução de JavaScript arbitrário por meio de um arquivo Markdown (.md) malicioso. A exploração pode permitir enumeração de portas locais e exfiltração de dados.
CVE-2025-65715 (CVSS 7.8) – Code Runner -⚠️ Ainda não corrigida.
Permite execução arbitrária de código ao induzir a vítima, via phishing ou engenharia social, a modificar o arquivo “settings.json”.
Uma falha (sem CVE atribuído) possibilitava acesso a arquivos sensíveis da máquina da vítima por meio de requisições JavaScript direcionadas ao localhost. A vulnerabilidade foi corrigida silenciosamente pela Microsoft na versão 0.4.16, lançada em setembro de 2025.
Extensões do VS Code possuem amplo acesso ao sistema operacional, arquivos locais e serviços internos. Quando mal configuradas, excessivamente permissivas ou vulneráveis, podem permitir que hackers executem código, modifiquem arquivos críticos e assumam o controle completo da máquina.
Em ambientes corporativos, o impacto pode ir além do dispositivo individual. Uma máquina comprometida pode servir como ponto de entrada para movimentação lateral, acesso a repositórios internos, segredos de API, credenciais armazenadas localmente e até pipelines de CI/CD.
Recomendações de segurança
Para reduzir os riscos no ambiente de desenvolvimento, especialistas recomendam:
Evitar aplicar configurações não confiáveis;
Desinstalar ou desabilitar extensões desnecessárias;
Manter extensões sempre atualizadas;
Restringir conexões de entrada e saída por meio de firewall;
Desativar serviços locais (localhost) quando não estiverem em uso.
A manutenção de extensões vulneráveis instaladas representa uma ameaça imediata à postura de segurança da organização. Em muitos casos, pode ser necessário apenas um clique em um link malicioso ou a abertura de um repositório comprometido para que o ambiente inteiro seja afetado.
