【要点】
◎VSCode派生IDEの推奨拡張がOpenVSX未登録でも表示され、攻撃者が同名拡張を登録して悪性拡張を配布可能に。Cursor等は対策済み (マイナビニュース)
【要約】
Koi Securityは、VSCode派生IDE（Cursor、Windsurf、Google Antigravity、Trae）で推奨拡張機能の仕組みを悪用し、マルウェア拡散に繋がり得る脆弱性を報告。派生製品はMicrosoft公式Marketplaceを使えずOpen VSX Registryを利用するが、推奨一覧はVSCode側でハードコードされ同じ表示が行われるため、OpenVSXに存在しない拡張が「推奨」として出る。攻撃者はその“空席”の名前空間をOpenVSXに登録し、推奨経由で悪性拡張をインストールさせ情報流出等を狙える。Koiは被害抑止のためプレースホルダーを登録し1000人超が導入。CursorとAntigravityは対策済み、Windsurfは未応答とされる。
【ニュース】
◆VSCodeベースの開発環境に脆弱性、マルウェア感染を導く恐れ (マイナビニュース, 2026/01/07 12:52)
https://news.mynavi.jp/techplus/article/20260107-3931954/
