Cette publication a été rédigée par l’équipe Tanium Guardian.
Un environnement de développement intégré, ou IDE, est une application logicielle conçue pour écrire, modifier, tester et créer du code à l’aide d’un ordinateur de bureau. Visual Studio Code est un éditeur gratuit populaire de Microsoft qui est construit sur un noyau open source. Le noyau du code VS sert également de base à plusieurs autres IDE, tels que Cursor, Windsurf et VSCodium, qui sont rapidement adoptés dans les environnements d’entreprise.
Le code VS et ses fourches permettent l’expansion des fonctionnalités via des « extensions ». Ces extensions vont de simples modifications de l’interface utilisateur à des fonctionnalités avancées telles que la prise en charge du langage et l’automatisation des tâches. De manière critique, ces extensions peuvent fournir l’exécution du code dans l’IDE et exécuter le code au niveau des privilèges du processus IDE.
Comme les extensions de navigateur, ces utilitaires utiles comptent en dizaines de milliers. Le riche écosystème de développeurs signifie que les utilisateurs peuvent trouver une extension pour presque tous les besoins imaginables tels que l’embellissement de code, les peluches et l’intégration à d’autres outils de développement. Il existe même des options simples comme VS Code Pets, qui rappellent l’application eSheep de l’ancienne école du 1990s.
Les utilisateurs peuvent obtenir des extensions auprès de Visual Studio Code Marketplace (Microsoft), du registre OpenVSX (Eclipse Foundation) ou les installer localement.
Étant donné la popularité des IDE, le potentiel de privilèges élevés et d’accès aux données sensibles par l’utilisateur final de l’IDE, et la facilité relative de publication des extensions, les attaquants exploitent de plus en plus les extensions à des fins préjudiciables.
La recherche sur les menaces écrite par Aqua Security et Truvis Thorton en 2023 et signalée pour la première fois dans la nature par Palo Alto fin 2024 semble désormais presque hebdomadaire. MITRE a ajouté des extensions IDE en tant que TTP ATT&CK en mars 2025.
Comment fonctionnent les extensions IDE ?
Les extensions sont des fichiers de code et/ou de configuration groupés qui se branchent directement à l’interface utilisateur du code VS et peuvent tirer parti des mêmes interfaces de programmation d’application (API) disponibles pour le code VS. Après l’installation, les extensions sont exécutées dans l’« hôte d’extension » lancé par VS Code. Il s’agit d’un processus Node.js exécuté avec l’IDE.
L ’« hôte d’extension » dispose des mêmes permissions que l’IDE, de sorte que toute action qui peut être effectuée par l’IDE peut également être effectuée par une extension. Cela inclut, mais sans s’y limiter, la lecture et l’écriture de fichiers sur l’endpoint, la réalisation de demandes réseau, l’exécution de processus externes et la modification des paramètres IDE. Les extensions sont principalement du code basé sur JavaScript, mais peuvent injecter du code malveillant dans d’autres langues via des API de code VS.
Quel est le risque ?
Dans les pires cas d’abus d’extension IDE, les victimes peuvent s’exposer à des données sensibles, y compris des informations d’identification et des jetons d’accès, par exfiltration d’attaquants ou en devenant victimes de rançongiciels.
Il existe un dicton dans la communauté de la sécurité selon lequel « les logiciels malveillants ne font que ce qu’ils sont autorisés à faire », ce qui est un moyen simplifié d’expliquer à quel point les paramètres trop permissifs et les comptes d’utilisateur avec trop de contrôle administratif peuvent représenter un tel risque pour une organisation.
Les extensions de code VS malveillantes s’exécuteront avec les permissions de l’utilisateur qui les a chargées dans leur profil de code VS. Il n’est pas rare que les développeurs disposent de permissions plus élevées sur leur poste de travail pour faciliter le débogage et les modifications de configuration requis pour leurs tâches, et c’est exactement la raison pour laquelle ils font une cible d’attaque si attrayante.
Pour le marché des extensions Visual Studio géré par Microsoft, Microsoft fournit une protection contre les extensions malveillantes et a augmenté ces protections au fil du temps. Chaque extension et les mises à jour ultérieures sont analysées pour détecter les virus à l’aide de plusieurs moteurs antivirus. Les extensions sont également examinées lors de l’exécution dans un environnement sandbox.
Une liste d’interdiction est gérée par Microsoft, avec VS Code supprimant automatiquement les extensions de cette liste du endpoint de l’utilisateur. Microsoft a également ajouté la détection de « squatting de nom » afin que les acteurs malveillants ne puissent pas voler les noms des produits/offres à des éditeurs officiels réputés. Les utilisateurs peuvent également signaler des extensions malveillantes, et Microsoft a décrit leurs mesures améliorées dans ses blogs de développeurs.
Malgré ces mesures accrues, des extensions malveillantes ont traversé. Début 2025, des chercheurs de ReversingLabs ont découvert une utilisation astucieuse d’une faille qui permettait aux extensions malveillantes de publier sous le nom d’extensions anciennes mais supprimées sur le marché. Dans l’étude ReversingLabs, l’extension malveillante comprenait des éléments de ransomware. Bien qu’elle ne soit pas répandue, il s’agit d’une preuve de test et de développement qui peut entraîner des compromis plus importants à l’avenir.
Bien que Microsoft mette en œuvre des protections contre les extensions malveillantes connues, d’autres marchés existent. Le registre OpenVSX est un marché populaire pour les fourches VS Code, telles que Codeium, Windsurf et VSCodium.
OpenVSX est complètement ouvert et manque de la sophistication de la gouvernance et de la sécurité que le marché de Microsoft offre. Bien qu’il existe un processus de signalement des abus et que les gestionnaires d’OpenVSX répondent aux rapports et éliminent les extensions malveillantes, les tests et l’analyse ne sont pas automatisés.
Étant donné la popularité de nombreuses fourches VS Code, OpenVSX restera un mécanisme de livraison à haut risque pour les extensions IDE malveillantes, et les organisations qui tirent parti de ce marché doivent mettre en œuvre une liste d’autorisation stricte pour leurs IDE et une analyse de routine pour la présence de contenu potentiellement préjudiciable.
Les extensions provenant des marchés sont généralement mises à jour automatiquement par l’IDE. Cela pourrait introduire des risques de chaîne d’approvisionnement ; si un développeur d’extension est compromis ou que l’extension est vendue à une partie malveillante, un code malveillant pourrait être injecté dans une extension autrement réputée.
À l’inverse, les extensions peuvent contenir des vulnérabilités comme indiqué par CVE-2025-52882 dans l’extension Claude Code. En octobre 2025, des chercheurs de Wiz ont identifié plusieurs éditeurs qui ont divulgué des secrets qui auraient pu entraîner la compromission de centaines de milliers d’utilisateurs.
Informations Tanium
Le paysage de l’extension IDE est tentaculaire. Bien que de nombreuses organisations gèrent et mettent à jour régulièrement les IDE elles-mêmes, toutes ne se plongent pas dans le contrôle et la gestion des extensions IDE, qui présentent un risque beaucoup plus important. Comme pour tout ce qui concerne la sécurité, la visibilité de l’écosystème est la première étape, et la plus critique.
Tanium a observé qu’au moins un IDE est installé sur 43 % des endpoints macOS et 9 % des endpoints Windows, l’organisation observée moyenne disposant de 330 extensions de code VS uniques installées.
Toute organisation qui autorise l’utilisation des IDE doit gérer les risques associés à l’utilisation des extensions IDE. Les endpoints de développeurs sont des cibles particulièrement de grande valeur. Fin 2025 , une augmentation des attaques a été observée, où des packages npm malveillants étaient exploités pour collecter des informations d’identification et des jetons de développeur.
Certaines organisations peuvent penser qu’elles sont à l’abri de ces attaques parce qu’elles ne développent pas de logiciels en interne ou n’ont pas d’organisation de développement de logiciels, mais il s’agirait d’une hypothèse risquée. De nombreux professionnels technophiles en dehors de l’ingénierie logicielle utilisent également ces éditeurs de code pour créer des scripts d’automatisation simples pour prendre en charge leurs workflows.
À moins que votre organisation ne bloque activement VS Code et toutes ses variantes, vous avez probablement une exposition qui justifie une surveillance et un renforcement supplémentaires.
Comment Tanium aide
Tanium Guardian offre visibilité et contrôle pour les extensions IDE :
- Énumérer les extensions : extensions installées et désactivées sur VS Code, Cursor, VSCodium et Windsurf
- Métadonnées de clé de surface : ID d’extension, éditeur, source (Marketplace vs local) et version
- Corrigez à grande échelle : supprimez instantanément les extensions malveillantes ou non conformes à l’aide du package de suppression d’extension de Tanium
Ressources supplémentaires
- Documentation de Visual Studio Extension Marketplace
- Protections de Visual Studio Extension Marketplace
- Blog de développement Microsoft : sécurité et confiance dans Visual Studio Marketplace
- Aperçu des fonctionnalités et capacités de Tanium Guardian
- Découvrez comment Tanium Guardian fait face aux risques en temps réel : les nouveaux tableaux de bord SMB et RMM sont expliqués - Tanium Tech Talks #134
