CVE-2026-65675: bypass de seguridad en CoPilot Chat de VS Code

Si tu equipo de desarrollo usa CoPilot Chat en Visual Studio Code con el modo de aprobación automática activado, un atacante podría estar escribiendo archivos donde no debe. Microsoft publicó el 11 de agosto de 2026 la CVE-2026-65675, una vulnerabilidad de security feature bypass (elusión de controles de seguridad) en la extensión CoPilot Chat. No se ha detectado explotación activa, pero el parche ya está disponible y merece la pena aplicarlo cuanto antes: si tu equipo usa asistentes de IA con permiso para escribir en disco, este fallo te interesa aunque no sea el más grave del mes.

Qué ha pasado

La CVE-2026-65675 es un fallo que permite a un atacante suministrar contenido manipulado al agente de IA de codificación para que escriba o modifique archivos fuera de la carpeta del workspace que el usuario tiene abierto. El impacto principal es sobre la integridad: un tercero puede crear o alterar archivos que el desarrollador nunca pretendía tocar. Piensa en lo que eso significa en la práctica: un archivo de configuración de despliegue modificado, un script de arranque con una línea extra o una dependencia alterada sin que nadie lo revise.

Microsoft clasifica la severidad como Important, con una puntuación CVSS 3.1 de 7,1 (base) y 6,2 (temporal). El NVD, por su parte, asigna un 6,5 MEDIUM al considerar que no hay impacto en disponibilidad. En cualquier caso, la complejidad del ataque es baja y no requiere privilegios previos, aunque sí necesita que el usuario interactúe: concretamente, que esté usando el agente en modo de aprobación automática de ediciones (automatic edit-approval mode).

Cronología:

• 11 de agosto de 2026 — Microsoft publica el aviso inicial.
• 19 de agosto de 2026 — Se añade el CWE asociado (actualización informativa).
• 2 de septiembre de 2026 — Se actualiza la información de paquetes afectados.
• 24 de septiembre de 2026 — Microsoft actualiza la información de versiones corregidas.

No hay exploit público conocido ni se ha observado explotación activa. Microsoft evalúa la probabilidad de explotación como “Less Likely”.

¿Afecta a mi empresa?

Producto afectado: la extensión CoPilot Chat de Visual Studio Code en versiones anteriores a la 1.132.1, según la tabla de productos afectados de Microsoft.

Estás expuesto si se cumplen estas dos condiciones a la vez:

1. Algún desarrollador de tu equipo tiene instalada la extensión CoPilot Chat en VS Code sin actualizar a la 1.132.1 o posterior.
2. Esa persona trabaja con el agente en modo de aprobación automática de ediciones, es decir, el agente puede modificar archivos sin pedir confirmación explícita en cada cambio.

Si tus desarrolladores revisan y aprueban manualmente cada edición que propone CoPilot Chat, el riesgo se reduce de forma significativa, porque el ataque necesita esa interacción pasiva del usuario.

Lamentablemente, Microsoft no proporciona un comando o procedimiento de solo lectura para verificar si un sistema ha sido comprometido.

Qué hacer, paso a paso

1. Actualizar la extensión CoPilot Chat en VS Code

Según la tabla de actualizaciones de Microsoft, la corrección llega con la versión 1.132.1. Abre VS Code, ve a Ayuda → Acerca de para ver tu versión y, en la pestaña de extensiones, comprueba que CoPilot Chat está actualizada. Si no se ha actualizado sola, fuerza la actualización desde el marketplace. En equipos gestionados, conviene revisarlo de forma centralizada en todos los puestos de desarrollo.

2. Desactivar el modo de aprobación automática mientras tanto

Si no puedes parchear de inmediato, la mitigación más directa es desactivar el automatic edit-approval mode del agente CoPilot Chat. De esta forma, cada modificación de archivo requerirá aprobación manual del desarrollador, lo que corta el vector de ataque. Es una buena práctica general: seguramente te suena la tentación de dejar que la IA aplique todos los cambios sin intervención para ir más rápido, pero con herramientas que tienen acceso de escritura al sistema de archivos, ese atajo puede salir caro.

3. Revisar archivos fuera del workspace

Comprueba si se han creado o modificado archivos fuera de las carpetas de workspace habituales. Presta especial atención a archivos de configuración del sistema, scripts de arranque, pipelines de CI/CD o cualquier ubicación que no debería haber sido tocada por el agente de IA. Si tu equipo usa control de versiones (y debería), revisa los diffs recientes en busca de cambios en rutas inesperadas. Un git status fuera del directorio del proyecto puede darte pistas rápidas.

4. Recomendación de fondo: políticas de uso de asistentes de IA en desarrollo

Esta vulnerabilidad pone sobre la mesa una conversación que muchas empresas todavía no han tenido: qué permisos reales tienen las herramientas de IA generativa sobre el entorno de trabajo de tus desarrolladores. Un asistente de codificación con capacidad de escritura en disco y modo automático activado es, a efectos prácticos, un agente con acceso privilegiado al sistema de archivos. Si no lo tratas con el mismo rigor que cualquier otra herramienta con permisos elevados, estás asumiendo un riesgo que probablemente no has evaluado.

Algunas medidas concretas que merece la pena considerar:

• Inventario de extensiones: mantén un registro actualizado de las extensiones de VS Code desplegadas en tu equipo y sus versiones. Si gestionas muchos puestos de desarrollo, las políticas de VS Code permiten restringir qué extensiones se instalan y en qué versión.
• Principio de mínimo privilegio para agentes de IA: desactiva por defecto los modos de aprobación automática. Que cada desarrollador active la automatización solo cuando la necesite y sea consciente de lo que implica.
• Revisión periódica de permisos: igual que revisas los accesos de los usuarios a los sistemas, revisa qué pueden hacer las herramientas de IA en los equipos de desarrollo. Es muy común que se instalen extensiones, se les den todos los permisos y nadie vuelva a mirar esa configuración.

En resumen

• Actualiza VS Code y la extensión CoPilot Chat: la corrección llega con la versión 1.132.1.
• Desactiva el modo de aprobación automática del agente hasta que confirmes que el parche está aplicado.
• Revisa que no haya archivos creados o modificados fuera de las carpetas de workspace esperadas.
• No hay explotación activa conocida, pero la complejidad del ataque es baja: no lo dejes para la semana que viene.