VS Code: 2-Stunden-Delay für Extension-Updates gegen Supply Chain
KI-generiert mit ChatGPT
Mit VS Code 1.123 baut Microsoft eine neue Schutzschicht ein. Extensions werden künftig erst zwei Stunden nach einem Update automatisch installiert. Eine Extension ist eine Erweiterung, die VS Code um zusätzliche Funktionen ergänzt, ähnlich wie eine App auf dem Smartphone. Laut Microsoft sollen die zwei Stunden eine zusätzliche Schutzebene gegen problematische oder kompromittierte Releases bieten. Der genaue Wortlaut: „extra layer of protection against problematic or potentially compromised releases.„
Der Anlass ist konkret. Am 18. Mai 2026 war eine bösartige Version der Extension Nx Console rund 18 Minuten lang im Visual Studio Marketplace abrufbar. Die Extension zählt 2,2 Millionen Installationen und war als Erweiterung eines verifizierten Anbieters gekennzeichnet. Wer in den genannten 18 Minunten Auto-Update aktiviert hatte, wurde kompromittiert. Betroffen war mindestens ein Mitarbeiter von GitHub.
Über dessen Gerät erhielten die Angreifer laut der späteren Bestätigung von GitHub Zugang zu rund 3.800 internen Repositories. Wie schnell solche Angriffe heute laufen, zeigt unsere Analyse, wie Vibe Coding die Supply Chain zur größten Angriffsfläche macht.
Anzeige
Manuelle Sofort-Updates sind davon nicht betroffen und können weiterhin direkt ausgelöst werden. In der Detailansicht zeigt VS Code den Grund und den Zeitpunkt des anstehenden Updates. Eine Schwachstelle bleibt allerdings. Für Trusted Publishers wie Microsoft, GitHub und OpenAI gibt es kein Delay. Besagte Releases landen weiterhin sofort auf dem System.
Die Sicherheitsfirma Aikido hat den Vorfall analysiert. Das Unternehmen bewertet die zweistündige Verzögerung als Fortschritt, hält aber ein Mindestfenster von 48 Stunden für sinnvoller. Nicht jeder Vorfall wird in zwei Stunden erkannt und gemeldet. VS Code reiht sich in einen breiteren Trend ein. RubyGems hat mit Bundler 4.0.13 ein Cooldown ergänzt, ähnliche Mechanismen bieten auch Bun, pnpm, npm und Yarn. Dass solche Vorfälle kein Einzelfall sind, zeigt der Bericht über Miasma und die kompromittierten npm-Pakete von Red Hat.
Server, KI-Modelle und Recherche kosten Geld. ClawNews ist unabhängig — hilf mit, dass das so bleibt.
