Plugin4Shell permite sustituir plugins fijados en cuatro agentes de programación con IA
Plugin4Shell permite sustituir plugins fijados en cuatro agentes de programación con IA
Una falla de verificación del commit permite que un repositorio controlado por un atacante entregue código distinto al plugin revisado. Claude Code y Codex ya tienen corrección; GitHub Copilot y Gemini CLI seguían sin parche al divulgarse el hallazgo.
Qué ocurrió
AIR Security divulgó Plugin4Shell, una vulnerabilidad de cadena de suministro que afecta al mecanismo con el que Claude Code, OpenAI Codex, GitHub Copilot y Gemini CLI instalan plugins fijados a un commit de Git. El agente solicita el hash aprobado, pero no comprueba que el árbol de trabajo instalado termine realmente en ese commit.
El ataque requiere que el adversario controle el repositorio de un plugin, ya sea porque publicó uno legítimo y después lo modifica o porque secuestró el repositorio de un tercero. No se ha informado explotación real; el riesgo probado proviene de demostraciones funcionales coordinadas con los fabricantes desde junio de 2026.
Cómo se rompe la fijación por SHA
En Claude Code, Codex y Copilot, un atacante puede crear una rama cuyo nombre coincida con el hash hexadecimal fijado y convertirla en la rama predeterminada. En servidores Git que admiten ese nombre, el checkout ambiguo puede resolver la rama maliciosa en lugar del objeto del commit. Gemini CLI presenta una variante equivalente al resolver FETCH_HEAD.
La ausencia de una comparación final entre el HEAD instalado y el SHA esperado convierte una advertencia de Git en ejecución de contenido no revisado. Cuando la actualización automática está activa —comportamiento predeterminado señalado para Claude Code y Codex— el cambio puede llegar a instalaciones existentes sin una nueva aprobación del usuario.
Estado de las correcciones e impacto
Anthropic corrigió el problema en Claude Code 2.1.179 y OpenAI lo hizo en Codex 0.146.0. Según la divulgación, Microsoft no había publicado una corrección para Copilot y Google no corregiría el Gemini CLI ya descontinuado, recomendando migrar a Antigravity.
El código sustituido se ejecuta con los permisos del agente y del desarrollador. Por ello, una explotación exitosa podría exponer archivos locales, credenciales de repositorios, tokens de nube y sistemas accesibles desde la estación de trabajo o el entorno de integración continua.
Recomendaciones
- Actualizar Claude Code a 2.1.179 o posterior y Codex a 0.146.0 o posterior.
- Inventariar plugins, marketplaces y repositorios configurados; retirar extensiones innecesarias o cuyo mantenedor y procedencia no puedan verificarse.
- Hasta disponer de una corrección, desactivar actualizaciones automáticas de plugins en productos expuestos y evitar repositorios alojados en servicios que permitan referencias con nombres ambiguos.
- Verificar después de cada instalación que git rev-parse HEAD coincide exactamente con el SHA aprobado y bloquear la ejecución ante cualquier diferencia.
- Ejecutar agentes con privilegios mínimos y secretos de corta duración; revisar actividad anómala y rotar credenciales si un plugin pudo actualizarse desde un repositorio comprometido.
Fuentes y referencias
Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.
- 1The Register ↗prensa especializada
- 2
- 3
¿Esta amenaza puede afectar a su empresa?
ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.
Hablar con un especialista