פריצת ענק ל-VS Code: לחיצה בודדת על קישור מספיקה כדי לגנוב לכם את כל הקוד

עסכר הצהיר בפשטות ש"אין לו שום עניין" להתעסק עם תהליך ה-MSRS שוב. הפרצה הקודמת דווחה תחילה לתוכנית הבאג-באונטי של GitHub בפלטפורמת HackerOne, שם אמרו לו במפורש שהיא מחוץ לתחום אחריותם ועליו לפנות ל-MSRS – כזאת העברת אחריות בירוקרטית שהותירה את הממצא לא מתוגמל ולא מוכר.

איך המתקפה עובדת: ארבעה שלבים להשתלטות

המתקפה מרכיבה שלוש פרצות נפרדות לכדי שרשרת תקיפה חלקה לחלוטין, שעוקפת כל מנגנון אבטחה שיש ל-github.dev.

1. העברת הקשות מקלדת מ-Webview

ה-Webviews של VS Code – אותן סביבות מבודדות (Sandbox) שמריצות תכנים כמו Jupyter Notebooks, תצוגה מקדימה של Markdown וכדומה – תוכננו להיות תאים מאובטחים. אבל כדי שקיצורי מקלדת ימשיכו לעבוד בתוכן, העורך מעביר אירועי הקשה מה-Webview המבודד אל תהליך העורך הראשי.

2. הזרקת הקשות סינתטיות

מחברת Jupyter זדונית שנמצאת בתוך המאגר של התוקף שולחת אירועי מקלדת מסונתזים (Ctrl+Shift+A, Ctrl+F1) מתוך ה-Webview המבודד ישירות אל החלון הראשי של VS Code . ההקשות האלה, באופן שקוף למשתמש, מפעילות בשקט מוחלט את הפקודה "Install Extension", ועוקפות את חלון הדו-שיח לאימות המוציא לאור, שבדרך כלל נועד לחסום תוספים לא מהימנים.

3. אמון בתוספי Workspace מקומיים

המאגר של התוקף מכיל תוסף VS Code מוכן מראש, המאוחסן בתיקייה .vscode/extensions. מכיוון ש-github.dev מתייחס לתוספים שמגיעים יחד עם סביבת העבודה כאל מהימנים באופן מרומז, התוסף הזדוני מותקן ללא שום בקשת אישור מהמשתמש.

4. גניבת טוקן OAuth

ברגע שהוא רץ, התוסף הזדוני מקבל גישה מלאה לסביבת הריצה של github.dev. סביבה זו מחזיקה טוקן OAuth של GitHub, ש-github.com שולח בשקט ל-github.dev בכל פעם שמאגר כלשהו נפתח. וזה החלק הקריטי: הטוקן הזה אינו מוגבל למאגר הנוכחי – הוא נושא את מלוא הרשאות הגישה של המשתמש . התוסף שולף את הטוקן, שולח שאילתה ל-API של GitHub כדי לקבל את רשימת המאגרים הפרטיים של הקורבן, ומעביר את הטוקן ואת המידע חזרה לתוקף.

התוצאה הסופית: גישת קריאה וכתיבה מלאה לכל מאגר ציבורי ופרטי שהקורבן יכול לגעת בו, והכל הושג בלחיצת קישור אחת.

התגובה של מיקרוסופט

מיקרוסופט הכירה בקיום הפרצה ב-2 ביוני 2026, ואישרה כי היא טופלה עבור השירותים שלה – ספציפית, github.dev ו-VS Code for the Web.

ב-3 ביוני, מיקרוסופט הפיצה תיקונים בצד השרת, הכוללים הוספת שלב לאימות אמון בעת פתיחת מחברות (Notebooks) בדפדפן, וחסימת האפשרות שפקודת התקנת התוסף תקבל מידע מזהה שרירותי מהגורם הקורא לה. ב-4 ביוני, נוספו הגבלות נוספות על טיפול באירועי Webview.

מיקרוסופט הצהירה שהבעיה אינה משפיעה על גרסת שולחן העבודה של VS Code. עם זאת, דפוס הפעולה הבסיסי – מתן אמון אוטומטי בתוספי Workspace ללא אימות מספק – מעלה חששות כבדים לכל משתמש VS Code שפותח מאגרים לא מוכרים באופן מקומי.

למה המקרה הזה שונה?

מנגנון התקיפה יוצא דופן משלוש סיבות.

ראשית, משטח התקיפה הוא פשוט קישור (URL). הקורבן לא מוריד קובץ, לא פותח טרמינל, ולא מאשר שום הרשאה. לחיצה על קישור לדפדפן שמוביל ל-github.dev היא כל מה שנדרש.

שנית, היקף הטוקן מדאיג ביותר. טוקן ה-OAuth ש-github.com מעביר ל-github.dev אינו מוגבל למאגר הספציפי שהמשתמש צופה בו. הוא נושא את מלוא הרשאות הגישה של המשתמש ל-GitHub. המשמעות היא שתוקף שמצליח לסכן מפתח שעובד על פרויקט קוד פתוח ציבורי, יקבל לידיו גם את ההרשאות למאגרים הפרטיים של מקום העבודה של אותו מפתח.

ושלישית, מנגנון האמון התהפך. התכונה שהופכת את חוויית הפיתוח המקומית לנעימה וחלקה – אמון בתוספים שמגיעים כחלק מהפרויקט – היא בדיוק אותו מנגנון שמאפשר למטען הזדוני לרוץ ישירות וללא כל אישור.

סוכני AI בסכנה: חמש פרצות Zero-Day נחשפו בפלטפורמת OpenClaw

בחשיפה נפרדת ומקבילה, חוקרים פרסמו חמש פרצות Zero-Day במסגרת העבודה של סוכני AI בשם OpenClaw, המאפשרות לתוקפים להתחזות למשתמשים מורשים ולהשתלט על סוכני AI מהימנים במגוון פלטפורמות מסרים.

שורש הבעיה הוא ארכיטקטוני: OpenClaw תומך ב-15 מתאמי ערוצים שונים – טלגרם, סלאק, דיסקורד, וואטסאפ ועוד – וכל מתאם כזה מממש באופן עצמאי את מנגנוני ההרשאות והווב-הוקים שלו . שדות הזהות הקריטיים שמשמשים לרשימות הרשאה (allowlist), כמו למשל שמות תצוגה, ניתנים לשינוי על ידי המשתמש בפלטפורמה עצמה, והמרה שלהם למזהי משתמש קבועים נעשית באופן לא עקבי בין המתאמים השונים.

מכיוון שאין שכבת אכיפת מדיניות ריכוזית, תוקפים יכולים:

• להתחזות למשתמש מורשה בערוץ אחד, פשוט על ידי שינוי שם התצוגה שלהם כך שיתאים לזהות של משתמש לגיטימי.
• לנצל את אי-העקביות בפתרון זהויות בין תוספי ערוצים שונים, כדי לעקוף בדיקות אבטחה שעובדות בערוץ אחד אך נכשלות באחר.
• להשתלט על הרשאות הגישה של סוכן ה-AI – שלעיתים קרובות כוללות גישה למעטפת (Shell), מפתחות API והרשאות למערכת הקבצים – והכל מבלי להזדקק לשום אישור תקף.

ניתוח אבטחה שפורסם ב-arXiv ב-3 ביוני 2026 זיהה פרצות לאורך רבדים ארכיטקטוניים מרובים (מדיניות הפעלה, Gateway, ערוץ, Sandbox, דפדפן, תוסף, Prompt), כאשר הדפוס המבני הדומיננטי הוא אכיפת מדיניות אמון מקומית, בכל רובד ובכל קריאה, במקום גבולות מדיניות אחידים . מהניתוח עולה כי חולשות ארכיטקטוניות נפרדות מתחברות לכדי מסלולי תקיפה שלמים המאפשרים הרצת קוד מרחוק (RCE) ללא צורך באימות.

סוכנות אבטחת הסייבר של סינגפור (CSA) פרסמה אזהרה בסוף מאי 2026 בנוגע לפרצות לא מתוקנות, בקרות גישה חלשות, והסיכון מכישורי צד שלישי זדוניים בזירת המסחר ClawHub.