新たに公表されたCursor IDEの脆弱性により、Windows環境で信頼できないリポジトリを開くだけで、プロンプトインジェクションやAIエージェントの関与、あるいは追加のユーザー承認なしに任意コード実行が可能になることが明らかになりました。
当初の問題は悪意あるgit.exeバイナリを中心としたものでしたが、その後の調査により、特定のプロジェクト条件下ではhatch.exeなど他の実行ファイルにも攻撃対象が及ぶことが判明しています。
AIセキュリティ企業のMindgardは2025年12月にCursorのバイナリ設置型の欠陥を最初に報告し、2026年7月に技術的詳細を公開しました。CVE-2026-63093として追跡されているこの問題は、プロジェクト読み込み時のCursorによるGit検出処理に関わるものです。
Cursorはワークスペース初期化時に、git rev-parse --show-toplevelなどのGit関連コマンドを実行します。影響を受けるWindows環境の構成では、この検索処理が、正規のシステムGitインストールに到達する前に、リポジトリのルートに置かれたgit.exeを解決してしまう可能性がありました。
この結果、攻撃者は悪意あるgit.exeを含むリポジトリを配布できます。被害者がそのフォルダをCursorで開くと、IDEが被害者のユーザー権限で仕込まれたバイナリを実行してしまう可能性がありました。
この攻撃では、被害者がビルドタスクを実行したり、承認ダイアログをクリックしたり、AI機能と対話したりする必要はありません。ワークスペースを開くだけで十分でした。しかしMalandの指摘によれば、この挙動はGitバイナリの解決処理にとどまらない、より広範なものだったとしています。
Malandは、開かれたリポジトリにHatchビルドバックエンドを設定したpyproject.tomlファイルが含まれている場合、Cursorがhatch.exeの実行も試みる可能性があることを発見しました。
build-systemセクションと、hatchling.buildを参照するbuild-backendの値を含む最小限の設定だけで、トリガー条件として機能し得ます。
実証された攻撃チェーンでは、悪意あるリポジトリには2つのファイルが含まれていました。設定ファイルのpyproject.tomlと、攻撃者が制御するhatch.exeです。
この設定自体には、明示的なシェルコマンドや起動タスク、不審な自動化の指示を含める必要はありませんでした。
これにより、防御側がtasks.jsonやスクリプト、インストーラーパッケージ、CI/CD設定といった高リスクなファイルに注目しがちな従来型のリポジトリレビューでは、この手法を見抜きにくくなっています。
根本的な問題は、特定の実行ファイル名に紐づくものではありません。攻撃者が制御するワークスペースの内容から、プロセスを起動する仕組みへと安全でない形で移行してしまうことが原因です。
IDEがツールやパッケージ管理ユーティリティを解決する際にプロジェクトディレクトリを検索する仕組みになっていると、信頼できるシステム上のコピーより先に、悪意あるバイナリが選択・起動されてしまう可能性があります。
これにより、信頼できないリポジトリを通常の開発ワークスペースとして扱う限り、危険なバイナリ設置の条件が生まれてしまいます。Workspace Trust(ワークスペース信頼)機能も、必ずしもこのリスクを排除するわけではありません。
この調査で説明されたテストでは、デフォルトでWorkspace Trustが有効になっているTrae IDEでも、git.exeを探す際に信頼されていないディレクトリ内のファイルとやり取りしてしまうことが判明しました。
信頼保護機能は特定のワークスペース権限を制限できますが、攻撃者が制御するフォルダから実行ファイルを探索・解決すること自体をアプリケーションが行わないようにするとは限りません。
Cursorは、当初のgit.exeの経路とその後判明したhatch.exeの実行経路の両方について、新しいリリースで対処したと報じられています。
とはいえ、今回の公表は、IDEベンダーや開発者にとって重要な教訓を示しています。リポジトリの中身は単なるソースコードとしてではなく、実行され得るものとして扱わなければならないということです。
組織は、開発者が最新版のIDEを使用していることを確認し、利用可能な場合はワークスペース信頼保護機能を有効にし、リポジトリを開く前に内容を検査すべきです。
エンドポイントチームも、開発ツールから起動される不審な子プロセス、特に承認済みのシステムやアプリケーションのパスではなく、リポジトリのディレクトリから起動される実行ファイルを監視すべきです。
実務上の検知対象範囲はgit.exeにとどめるべきではありません。信頼できないワークスペースから解決される攻撃者制御下のバイナリは、いずれも同種のリスクを示す可能性があるためです。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査体制を強化する
翻訳元: https://cyberpress.org/cursor-0-day-allows-arbitrary-code-execution/
