Zero-Day no VS Code: O Ataque de um Clique que Comprometeu Contas do GitHub

No dia 2 de junho de 2026, o pesquisador de segurança Ammar Askar publicou uma prova de conceito (PoC) completamente funcional que transforma um único clique no gatilho para o comprometimento total de uma conta do GitHub. O alvo não é um site suspeito de terceiros, mas sim o github.dev, o próprio editor VS Code da Microsoft que roda no navegador. Ao abrir um link para um repositório especialmente preparado, a vítima entrega, sem saber, um token OAuth que dá ao invasor acesso de leitura e escrita a todos os repositórios que ela pode acessar, incluindo os privados .

Toda a cadeia de ataque acontece em menos de 30 segundos e não exige nenhuma interação do usuário além do clique inicial. Nenhum CVE foi atribuído, e o processo padrão de divulgação de vulnerabilidades foi totalmente ignorado pelo pesquisador .

A Quebra de Confiança por Trás da Divulgação

A decisão de Askar de publicar um zero-day sem coordenar com o Microsoft Security Response Center (MSRC) foi deliberada. Ele notificou um contato antigo no GitHub e liberou a PoC apenas uma hora depois . O motivo: uma vulnerabilidade anterior do VS Code que ele havia reportado foi corrigida silenciosamente pela Microsoft, sem lhe dar crédito algum .

Ele afirmou claramente que "não tinha interesse" em lidar com o processo do MSRC novamente . O bug anterior foi inicialmente reportado ao programa HackerOne do GitHub, que o informou explicitamente que a falha estava fora do escopo do programa e que ele deveria procurar o MSRC — um repasse burocrático que deixou a descoberta sem compensação e sem reconhecimento .

Como o Ataque Funciona: Uma Corrente de Quatro Estágios

O exploit orquestra três vulnerabilidades em uma cadeia contínua que contorna todas as barreiras de segurança do github.dev.

1. Encaminhamento de Eventos de Teclado do Webview

Os webviews do VS Code — os ambientes isolados que renderizam Jupyter Notebooks, pré-visualizações de Markdown e conteúdos similares — são projetados para serem compartimentos seguros. Mas, para que os atalhos de teclado funcionem dentro deles, o editor encaminha os eventos de tecla do webview isolado para o processo principal do editor .

2. Injeção de Pressionamentos de Tecla Sintéticos

Um Jupyter Notebook malicioso, presente no repositório do invasor, despacha eventos de teclado sintéticos (Ctrl+Shift+A, Ctrl+F1) do webview isolado diretamente para a janela principal do VS Code . Esses comandos acionam silenciosamente "Instalar Extensão" e ignoram a caixa de diálogo de confiança que normalmente bloquearia extensões não verificadas .

3. Confiança em Extensão Local do Workspace

O repositório do invasor contém uma extensão do VS Code pré-empacotada na pasta .vscode/extensions. Como o github.dev trata extensões que acompanham o workspace como implicitamente confiáveis, a extensão maliciosa é instalada sem absolutamente nenhuma solicitação de permissão ao usuário .

4. Exfiltração do Token OAuth

Uma vez em execução, a extensão maliciosa ganha acesso total ao ambiente de execução do github.dev. Esse ambiente contém um token OAuth que o github.com envia silenciosamente (via POST) para o github.dev sempre que um repositório é aberto. Um ponto crítico: esse token não está limitado ao repositório aberto no momento — ele carrega os privilégios de acesso completos do usuário . A extensão extrai o token, consulta a API do GitHub para obter a lista de repositórios privados da vítima e exfiltra tanto o token quanto os metadados para o invasor .

O resultado: acesso total de leitura e escrita a todos os repositórios públicos e privados que a vítima pode acessar, tudo com apenas um clique em um link .

A Resposta da Microsoft

A Microsoft reconheceu a vulnerabilidade no dia 2 de junho de 2026 e confirmou que ela foi mitigada para seus serviços — especificamente o github.dev e o VS Code para Web .

No dia 3 de junho, a Microsoft implementou correções no lado do servidor, incluindo uma etapa de confirmação de confiança ao abrir Notebooks baseados em navegador e o bloqueio do comando de instalação de extensão para não aceitar informações arbitrárias de quem o chama . Até o dia 4 de junho, restrições adicionais no tratamento de eventos dos webviews foram aplicadas .

A gigante de tecnologia afirmou que o problema não afeta o VS Code Desktop . No entanto, o padrão subjacente — confiar em extensões de workspace sem verificação suficiente — levanta preocupações para qualquer usuário do VS Code que abra repositórios não confiáveis localmente.

O Que Torna Isso Diferente

Esta cadeia de exploração é notável por três razões principais.

Primeiro, a superfície de ataque é uma URL. As vítimas não baixam um arquivo, não abrem um terminal e não aprovam uma permissão. Um link de navegador para o github.dev é o único pré-requisito.

Segundo, o escopo do token é alarmantemente amplo. O token OAuth que o github.com passa para o github.dev não se limita ao repositório que está sendo visualizado. Ele carrega as permissões completas do usuário no GitHub, o que significa que um invasor que comprometa um desenvolvedor trabalhando em um projeto público de código aberto também ganha credenciais para os repositórios privados do empregador desse desenvolvedor .

Terceiro, a confiança no workspace é invertida. O recurso que torna o desenvolvimento local mais fluido — confiar em extensões que acompanham um projeto — torna-se o próprio mecanismo que concede execução automática à carga maliciosa.

Agente de IA OpenClaw: Cinco Falhas de Falsificação de Identidade

Em uma divulgação paralela, pesquisadores publicaram cinco vulnerabilidades zero-day na plataforma de agente de IA OpenClaw que permitem que invasores se passem por usuários autorizados e sequestrem o acesso confiável a agentes de IA em múltiplas plataformas de mensagens .

A causa raiz é arquitetural: o OpenClaw suporta 15 adaptadores de canal diferentes — Telegram, Slack, Discord, WhatsApp e outros — e cada adaptador implementa de forma independente sua própria autorização de lista de permissões (allowlist) e verificação de webhook . Os campos de identidade cruciais para a segurança, usados para a lista de permissões, como nomes de exibição legíveis, são mutáveis no nível da plataforma e são resolvidos para IDs de usuário estáveis de forma inconsistente entre os adaptadores .

Como não há uma camada centralizada de aplicação de políticas, os invasores podem:

• Falsificar a identidade de um usuário autorizado em um canal simplesmente alterando seu nome de exibição para corresponder a uma identidade permitida .
• Explorar a resolução de identidade inconsistente entre diferentes extensões de canal para contornar verificações de confiança que funcionam em um canal, mas falham em outro .
• Sequestrar os privilégios de acesso do agente de IA — que muitas vezes incluem acesso ao terminal, chaves de API e permissões de sistema de arquivos — sem precisar de nenhuma credencial válida .

Uma análise de segurança da plataforma arXiv, datada de 3 de junho de 2026, identificou vulnerabilidades em múltiplas camadas da arquitetura (política de execução, gateway, canal, sandbox, navegador, plugin e prompt), com o padrão estrutural dominante sendo a aplicação de confiança por camada e por ponto de chamada, em vez de limites de política unificados . A análise descobriu que fraquezas arquitetônicas discretas se compõem em caminhos completos de execução remota de código (RCE) sem autenticação .

A Agência de Segurança Cibernética de Singapura (CSA) emitiu um alerta no final de maio de 2026, alertando para vulnerabilidades não corrigidas, controles de acesso frágeis e o risco de "skills" maliciosas de terceiros no marketplace ClawHub .