Le Zero-Day de VS Code qui permet aux attaquants de voler des tokens GitHub en un seul clic

Il a clairement indiqué n'avoir « aucun intérêt » à refaire affaire avec le processus du MSRC . Le bug antérieur avait été initialement signalé au programme HackerOne de GitHub, qui lui avait explicitement répondu qu'il était hors périmètre et de s'adresser au MSRC — un renvoi bureaucratique qui a laissé la découverte non rémunérée et non reconnue .

Comment l'attaque fonctionne : une chaîne en quatre étapes

L'exploit orchestre trois vulnérabilités en une chaîne transparente qui contourne toutes les barrières de sécurité de github.dev.

1. Transfert d'événements clavier depuis la Webview

Les webviews de VS Code — les bacs à sable isolés qui affichent les notebooks Jupyter, les aperçus Markdown et autres contenus — sont conçus pour être des compartiments sécurisés. Mais pour que les raccourcis clavier y fonctionnent, l'éditeur transfère les événements de touches depuis la webview isolée vers le processus principal de l'éditeur .

2. Injection synthétique de frappes au clavier

Un notebook Jupyter malveillant dans le dépôt de l'attaquant émet des événements clavier synthétiques (Ctrl+Shift+A, Ctrl+F1) depuis la webview bac à sable directement vers la fenêtre principale de VS Code . Ces frappes déclenchent silencieusement la commande « Installer une extension » et contournent la boîte de dialogue de confiance de l'éditeur qui bloque normalement les extensions non vérifiées .

3. Confiance implicite des extensions d'espace de travail

Le dépôt de l'attaquant contient une extension VS Code pré-packagée, stockée dans un dossier .vscode/extensions. Parce que github.dev traite les extensions livrées avec l'espace de travail comme implicitement fiables, l'extension malveillante s'installe sans aucune demande de permission de l'utilisateur .

4. Exfiltration du token OAuth

Une fois activée, l'extension malveillante obtient un accès complet à l'environnement d'exécution de github.dev. Cet environnement détient un token OAuth GitHub que github.com envoie silencieusement (via une requête POST) à github.dev à l'ouverture de n'importe quel dépôt. Fait critique, ce token n'est pas limité au dépôt actuellement ouvert — il porte l'intégralité des privilèges d'accès de l'utilisateur . L'extension extrait le token, interroge l'API GitHub pour obtenir la liste des dépôts privés de la victime, et exfiltre à la fois le token et les métadonnées des dépôts vers l'attaquant .

Le résultat : un accès complet en lecture et écriture à chaque dépôt public et privé auquel la victime peut toucher, obtenu en un seul clic sur un lien .

La réponse de Microsoft

Microsoft a reconnu l'existence de la vulnérabilité le 2 juin 2026 et a confirmé qu'elle avait été atténuée pour ses services — en particulier github.dev et VS Code pour le Web .

Le 3 juin, Microsoft a déployé des correctifs côté serveur incluant une étape de confirmation de confiance à l'ouverture de notebooks dans le navigateur, et le blocage de la commande d'installation d'extension acceptant des informations d'appelant arbitraires . Le 4 juin, des restrictions supplémentaires sur la gestion des événements de webview ont été déployées .

Microsoft a déclaré que ce problème n'affecte pas VS Code Desktop . Cependant, le modèle sous-jacent — faire confiance aux extensions d'espace de travail avec une vérification insuffisante — soulève des inquiétudes pour tout utilisateur de VS Code qui ouvre des dépôts non fiables en local.

Ce qui rend cette faille différente

Cette chaîne d'exploit est remarquable pour trois raisons.

Premièrement, la surface d'attaque est une simple URL. Les victimes ne téléchargent pas de fichier, n'ouvrent pas de terminal et n'approuvent aucune permission. Un lien dans le navigateur pointant vers github.dev est la seule condition préalable.

Deuxièmement, la portée du token est alarmante. Le token OAuth que github.com transmet à github.dev n'est pas limité au dépôt consulté. Il porte l'ensemble des permissions GitHub de l'utilisateur, ce qui signifie qu'un attaquant qui compromet un développeur travaillant sur un projet open source public obtient également les identifiants pour les dépôts privés de l'employeur de ce développeur .

Troisièmement, le modèle de confiance est inversé. La fonctionnalité qui rend le développement local fluide — faire confiance aux extensions livrées avec un projet — devient le mécanisme même qui accorde l'exécution automatique à la charge utile malveillante.

Agent IA OpenClaw : cinq failles zero-day d'usurpation d'identité

Dans une divulgation parallèle, des chercheurs ont publié cinq vulnérabilités zero-day dans le framework d'agent IA OpenClaw qui permettent à des attaquants d'usurper l'identité d'utilisateurs de confiance et de détourner l'accès à des agents IA de confiance sur de multiples plateformes de messagerie instantanée .

La cause racine est architecturale : OpenClaw prend en charge 15 adaptateurs de canaux différents — Telegram, Slack, Discord, WhatsApp, entre autres — et chaque adaptateur implémente indépendamment sa propre autorisation de liste d'autorisation et la vérification des webhooks . Les champs d'identité critiques pour la sécurité utilisés pour la liste d'autorisation, comme les noms d'affichage lisibles par l'homme, sont modifiables au niveau de la plateforme et sont résolus en identifiants utilisateur stables de manière incohérente selon les adaptateurs .

En raison de l'absence d'une couche centralisée d'application des politiques, les attaquants peuvent :

• Usurper l'identité d'un utilisateur de confiance sur un canal en changeant simplement son nom d'affichage pour correspondre à une identité autorisée .
• Exploiter la résolution d'identité incohérente entre les différentes extensions de canal pour contourner les vérifications de confiance qui fonctionnent sur un canal mais échouent sur un autre .
• Détourner les privilèges d'accès de l'agent IA — qui incluent souvent l'accès au shell, aux clés API et au système de fichiers — sans avoir besoin d'identifiants valides .

Une analyse de sécurité publiée le 3 juin 2026 sur arXiv a identifié des vulnérabilités sur plusieurs couches architecturales (politique d'exécution, passerelle, canal, bac à sable, navigateur, plugin et invite), le modèle structurel dominant étant l'application de la confiance par couche et par site d'appel plutôt que des frontières de politique unifiées . L'analyse a révélé que des faiblesses architecturales distinctes se combinent en chemins complets d'exécution de code à distance non authentifiée .

L'Agence de cybersécurité de Singapour (CSA) a publié fin mai 2026 un avis mettant en garde contre les vulnérabilités non corrigées, les contrôles d'accès faibles et le risque de compétences tierces malveillantes sur la plateforme ClawHub .