Cursorに未修正の欠陥 クローンで乗っ取りの恐れ

AI Security Watch 編集部 ・ 読了目安 約3分 ・ 一次情報をAIが要約し、公開前に人間の編集者が確認しています

かんたんに言うと

Cursorという開発支援AIツールで、他人が公開したプログラムのフォルダを開くだけで、中の不正プログラムが勝手に動いてしまう問題が見つかりました。まだ直っていないため、知らない人のリポジトリ(プログラム置き場)を安易に開かないことが大切です。

AIセキュリティとの関連: AIコーディングアシスタントCursorの欠陥で、開発者の端末やクラウド認証情報が乗っ取られる恐れがあるため

何が起きたか

AIコーディング支援ツール「Cursor」のWindows版に、深刻な欠陥が確認された。リポジトリ(ソースコードの管理単位)のルート直下に「git.exe」という名前のファイルがあると、Cursorがプロジェクトを開いた瞬間にそのファイルを実行してしまう。クリックや承認ダイアログは一切なく、警告表示もない。AIセキュリティ企業Mindgardが2025年12月15日にCursor側へ報告し、7カ月後の2026年7月に詳細を公開した。技術的には、Cursorがgitコマンドの実体を探す際、ワークスペース自体も検索対象に含めていることが原因とされる。検証では、電卓アプリ(calc.exe)をgit.exeにリネームして配置しただけで、プロジェクトを開いている間繰り返し起動され続けたという。原典によれば、記事執筆時点で修正版は提供されておらず、CVE番号も採番されていない。

誰に・どう影響するか

【中小企業向け】開発チームが外部のリポジトリを気軽にクローンして開く運用をしている場合、悪意ある第三者が用意したリポジトリを開いただけで、開発者のSSH鍵やクラウドの認証トークンが盗まれる恐れがある。セキュリティ専任者がいない組織ほど、こうした「開くだけ」の攻撃に気づきにくい。 【大企業向け】管理された開発環境でも、社外リポジトリの取り込みやOSS(オープンソースソフトウェア)の利用が多い組織では影響範囲が広がる。報道によれば、同種の欠陥はGitHub Copilot CLIやGemini CLI、OpenAIのCodexでも確認されており、各社の対応も割れている(一部は「攻撃者が既にファイルを置ける状況なら脆弱性ではない」として対応を見送っているとされる)。組織横断でAI開発ツールの導入方針を見直す必要がある。

今すぐやるべきアクション

• 未修正のため、信頼できないリポジトリはWindows Sandboxや使い捨て仮想マシン内でのみ開く
• 管理端末ではAppLockerやWindows App Controlで、プロジェクト直下のgit.exe・npx.exe・node.exeなど不審な実行ファイルを名前・パス指定でブロックする
• クローン直後・展開直後のフォルダに見慣れない実行ファイルがないか、開く前に目視確認する
• Cursorや利用中のAIコーディングツールのアドバイザリを定期的に確認し、修正版が出次第速やかに適用する
• 同種の欠陥が他ツール(Copilot CLI、Gemini CLI、Codex等)にも報告されているため、自社利用ツールの対応状況も確認する

重大度の判定理由

重大度「高」: リポジトリを開くだけで任意コード実行が可能、修正版・CVEなし。ただし現時点で実際の悪用報告はない