VS Code – IoT OT Security News

Visual Studio Code の脆弱性 CVE-N/A：1-Click で GitHub OAuth トークンを窃取

1-Click GitHub Token Vulnerability Lets Attackers Steal Users’ OAuth Tokens

2026/06/03 CyberSecurityNews — Visual Studio Code の WebView 実装に存在する、深刻なセキュリティ脆弱性を悪用する攻撃者は、被害者に悪意のリンクを 1-Click させるだけで、GitHub OAuth トークンの窃取および、非公開リポジトリの Read／Write 権限を取得する可能性がある。このバグは、2026年6月2日に、セキュリティ研究者 Ammar Askar により公表された。同氏は、Microsoft Security Response Center (MSRC) の過去の対応に対する不満や不愉快な経験を理由に、完全公開を選択した。

GitHub 内部リポジトリへの攻撃：武器化された VS Code エクステンションが従業員の端末を侵害

GitHub Internal Repositories Breached Via Weaponized VS Code Extension

2026/05/21 CyberSecurityNews — 2026年5月18日に GitHub の従業員の端末が、悪意の Visual Studio Code エクステンションを介した攻撃により侵害され、内部ソースコード・リポジトリからデータが流出するという深刻な事態が生じた。この攻撃は、5月18日 (月) に GitHub のセキュリティ・チームが、従業員エンドポイント上の不審な活動を特定したことで発覚し、同日に封じ込められた。

VS Code の 4 件のエクステンションに深刻な脆弱性：累計インストール数は 1億2,500万回を超える

Critical Flaws Found in Four VS Code Extensions with Over 125 Million Installs

2026/02/18 TheHackerNews — Microsoft Visual Studio Code (VS Code) の 4 件の人気エクステンションに存在するセキュリティ脆弱性について、サイバー・セキュリティ研究者たちが詳細を公表した。これらの脆弱性を悪用する脅威アクターは、ローカル・ファイルを窃取し、リモート・コード実行を引き起こす可能性がある。対象となるエクステンションは、Live Server／Code Runner／Markdown Preview Enhanced／Microsoft Live Preview であり、累計インストール数は 1億2,500万回を超える。

Open VSX エクステンションに潜む高度なマルウェア：開発者を狙う狡猾なサプライチェーン攻撃

Sophisticated Malware Lurks In Open VSX Extension With 5,066 Downloads

2026/01/30 gbhackers — 人気の Angular Language Service を装う悪意の VS Code エクステンションが、Open VSX Registry 上で発見された。このマルウェアを起動させる機能を備えたエクステンションは、2 週間ほど前に公開され、5,066 回ダウンロードされていた。このエクステンションは正規の Angular ツールチェーン “@angular/language-service 21.1.0-rc.0″ と TypeScript 5.9.3 を同梱している。その一方で、”extension/index.js” ファイル内に悪意のコードが埋め込まれており、開発者に深刻なサプライチェーン・リスクをもたらす構成となっている。

VS Code に悪意の ChatGPT エクステンション：正常に動作しながらソースコードを中国へ送信

Malicious VS Code AI Extensions with 1.5 Million Installs Steal Developer Source Code

2026/01/26 TheHackerNews — 2 つの悪意の Microsoft Visual Studio Code (VS Code) エクステンションが、サイバーセキュリティ研究者たちにより発見された。それらは、AI を活用したコーディング支援ツールとして宣伝されているが、開発者のデータを中国拠点のサーバへ密かに送信する機能を内包している。この悪意のエクステンションは、合計で約 150 万件のインストール実績を持ち、現在も公式の Visual Studio Marketplace からダウンロード可能な状態にある。

VS Code に悪意のパッケージ：DLL ハイジャックにより開発者の機密情報を盗み出す

Researchers Find Malicious VS Code, Go, npm, and Rust Packages Stealing Developer Data

2025/12/09 TheHackerNews — Microsoft Visual Studio Code (VS Code) マーケットプレイスに存在し、開発者のマシンに情報窃取型マルウェアを感染させる２つの新たなエクステンションが、サイバー・セキュリティ研究者たちにより発見／報告された。これら悪意の VS Code エクステンションは、プレミアム・ダークテーマや人工知能 (AI) 搭載のコーディング・アシスタントを装うが、実際には追加ペイロードのダウンロード／スクリーンショットの撮影／データ窃取といった隠れた機能を秘めている。それにより収集された情報は、攻撃者が管理するサーバに送信される。

VS Code エクステンションを悪用する Kimsuky：ランサムウェアと永続化のためのキャンペーンとは？

Threat Actors May Abuse VS Code Extensions to Deploy Ransomware and Use GitHub as C2 Server

2025/11/07 CyberSecurityNews — 開発者向けエクステンションを感染経路として悪用する北朝鮮の脅威アクターが、その攻撃戦略を進化させている。最近のセキュリティ調査によると、2012年から活動する国家支援グループ Kimsuky は、 JavaScript ベースのマルウェアを用いてシステムに侵入し、永続的な Command-and-Control (C2) インフラを構築しているという。これまでの攻撃は、政府機関／シンクタンク／専門家を標的とする活動に集中していたが、今回のキャンペーンが示すのは、技術力の拡大とサプライチェーン攻撃の高度化である。

Amazon Q の脆弱性 CVE-N/A が FIX：リポジトリの侵害と謎めいたマルウェアの展開

Amazon AI coding agent hacked to inject data wiping commands

2025/07/25 BleepingComputer — Visual Studio Code 用の GenAI アシスタントである Amazon Q Developer Extension に、あるハッカーがデータ・ワイパー・コードを埋め込んだという。この Amazon Q の GenAI アシスタントを用いる開発者たちは、無料のエクステンションに支援され、コーディング／デバッグ／ドキュメント作成／カスタム・コンフィグ設定などを可能にしている。Microsoft の Visual Studio Code (VSC) マーケットプレイスで入手が可能な Amazon Q の人気は高く、インストール数は 100 万件近くに達している。

VS Code エクステンションを介したサプライチェーン攻撃：blockchain エコシステムに深刻な懸念

Supply Chain Attack Unleashed via Compromised VS Code Extension

2025/07/09 gbhackers — 約6,000件のインストール実績を有する、正規の Visual Studio Code エクステンション ETHcode が侵害され、暗号資産開発者を標的とする高度なサプライチェーン攻撃が発生した。この攻撃は、悪意の GitHub プル・リクエストを介して引き起こされたものであり、信頼された開発ツールを最小限のコード変更により武器化する、脅威アクターの手口を示している。この攻撃により、blockchain エコシステムにおける、OSS ソフトウェアのセキュリティに対して、深刻な懸念が浮上している。

VS Code in the Browser の脆弱性 CVE-2025-47269 が FIX：code-server の乗っ取りの恐れ

VS Code in the Browser at Risk: code-server Security Alert

2025/05/12 SecurityOnline — VS Code をブラウザで実行するために、広く利用される code-server プロジェクトに存在する脆弱性が、新たに公開されたセキュリティ・アドバイザリで明らかにされた。この脆弱性 CVE-2025-47269 (CVSS：8.3) を悪用する攻撃者は、ユーザー・セッションへの不正アクセスの可能性を手にする。

Visual Studio の RCE 脆弱性 CVE-2023-36742：PoC エクスプロイトが公開

PoC Exploit Published for Visual Studio Code RCE Vulnerability (CVE-2023-36742)

2023/11/21 SecurityOnline — Visual Studio Code のリモート・コード実行の脆弱性 CVE-2023-36742 (CVSS：7.8) の、技術的詳細および PoC エクスプロイトが、セキュリティ研究者たちにより公表された。この、VS Code 1.82.0 以下に存在する脆弱性は、悪意を持って細工された package.json ファイルで作業する際に発生するものであり、ローカルでのコマンド実行につながるものだ。悪用のシナリオは、VS Code ユーザーに悪意のプロジェクトを開かせ、package.json ファイルの依存関係セクションにある、不正なエントリを操作させることで展開される。

Microsoft VS Code に脆弱性：悪意のエクステンションに認証トークン窃取の構造的な欠陥？

Malicious extensions can abuse VS Code flaw to steal auth tokens

2023/08/08 BleepingComputer — Microsoft のコード・エディターおよび開発環境である、VS Code (Visual Studio Code) に脆弱性により、Windows／Linux／macOS のクレデンシャル・マネージャーに保存されている認証トークンの取得を、悪意のエクステンションに許す可能性があることが発見された。これらのトークンは、Git／GitHub などのコーディング・プラットフォームや、各種のサードパーティ・サービスおよび API との統合に使用されるものだ。そのため、これらのトークンの窃取により、組織のデータ・セキュリティに深刻な影響が生じ、不正なシステム・アクセスやデータ侵害などにいたる可能性があるという。