Plugin4Shell frappe quatre outils de code : une faille de plugins, quatre agents exposés

Une même faiblesse dans quatre outils de développement

Plugin4Shell n’est pas une vulnérabilité ordinaire confinée à un seul produit. C’est précisément ce qui la rend importante. Les informations publiées ces dernières 72 heures décrivent une faille commune à quatre grands agents de code par IA: Claude Code d’Anthropic, Codex d’OpenAI, GitHub Copilot et Gemini CLI de Google [1]. Le problème porte sur la manière dont ces outils installent des plugins depuis des places de marché ou des dépôts de code.

Le mécanisme censé protéger l’utilisateur est connu: un plugin est examiné, puis épinglé à un commit précis. En principe, cette empreinte doit garantir que l’agent installe toujours le même instantané du code, et non une branche ou une étiquette modifiable. Or, selon les recherches d’AIR Security rapportées par plusieurs médias spécialisés, les agents concernés effectuaient le checkout du commit demandé sans vérifier que le code obtenu correspondait réellement au commit épinglé [2].

Cette nuance technique a des conséquences très concrètes. Les assistants de code modernes peuvent lire des dépôts, modifier des fichiers, lancer des commandes shell, appeler des outils internes et manipuler des configurations de production. Une faille dans leur système de plugins ne se limite donc pas à une mauvaise réponse d’un chatbot. Elle devient une faille de chaîne d’approvisionnement, avec les permissions d’un développeur en prime.

Le faux sentiment de sécurité du SHA pinning

Plugin4Shell contourne le SHA pinning, c’est-à-dire l’épinglage d’un plugin à un hash de commit précis. Ce modèle est supposé empêcher les attaques classiques de type “rug pull”: un plugin est sain lors de la revue, puis son dépôt est compromis ou modifié ultérieurement. Si le pin est correctement appliqué, l’agent devrait continuer à installer le commit relu, et rien d’autre.

La faille vient du dernier kilomètre. Pour Claude Code, Codex et GitHub Copilot, l’attaque repose sur le comportement de Git lorsque des noms de branches ou de tags peuvent ressembler à des hashes de commit de 40 caractères [2]. Sur certains hébergeurs, un propriétaire de dépôt peut créer une branche portant le même format qu’un commit hash et la faire pointer vers un autre code. Si l’agent ne vérifie pas après coup l’objet réellement récupéré, il peut exécuter ce code différent tout en donnant l’impression que le pin a été respecté.

Gemini CLI est décrit comme vulnérable par un chemin différent, lié à sa manière de récupérer et d’extraire les commits épinglés, mais le résultat opérationnel est le même: le code exécuté peut ne pas être le code relu et figé [3]. Cette différence est importante, car elle montre que la correction ne consiste pas seulement à interdire un nom de branche particulier. Le vrai principe de défense est de vérifier cryptographiquement que l’arbre de travail obtenu correspond au commit attendu.

Pourquoi l’attaque peut devenir “zéro clic”

Plugin4Shell devient particulièrement préoccupante avec les mises à jour automatiques de plugins. Le scénario décrit est simple: un attaquant publie d’abord un plugin bénin, celui-ci passe la revue et des utilisateurs l’installent. Plus tard, une mise à jour apparemment normale est acceptée par la place de marché. Une fois le pin modifié, l’attaquant manipule le dépôt pour que les agents installés récupèrent du code malveillant sans demander une nouvelle action à l’utilisateur [1].

Help Net Security indique que cette mise à jour en arrière-plan est ce qui transforme le problème en exécution distante de code sans clic, et précise que Claude Code et Codex utilisent de telles mises à jour par défaut [3]. The Hacker News apporte toutefois une nuance utile: les places de marché intégrées par défaut vérifiées au 18 septembre étaient basées sur GitHub, et GitHub interdit les noms de branches ou de tags qui ressemblent à des hashes de commit [2].

Cette nuance ne supprime pas le risque. Elle le précise. Une organisation qui n’utilise que des plugins provenant de GitHub peut être moins exposée à la variante fondée sur un nom de branche en forme de hash. Mais AIR Security estime que les agents concernés peuvent aussi utiliser des dépôts ou des places de marché hébergés ailleurs, notamment sur Bitbucket ou sur des serveurs Git internes, où ce type de nom peut être autorisé [1]. Le problème reste donc bien dans l’agent: c’est lui qui doit vérifier que le code finalement installé correspond à la référence promise.

Des correctifs inégaux selon les fournisseurs

La réponse des fournisseurs est l’un des éléments clés de l’affaire. D’après les informations publiées, la faille a été trouvée en mai 2026 avec des preuves de concept fonctionnelles, puis signalée aux fournisseurs en juin [3]. Au moment de la publication des articles, Anthropic avait corrigé Claude Code en version 2.1.179, et OpenAI avait corrigé Codex en version 0.146.0 [2].

La situation est moins claire ou moins favorable côté Microsoft et Google. GitHub Copilot n’avait pas de correctif agent-side signalé par AIR au moment de la couverture, même si GitHub met en avant ses protections contre les noms de références ressemblant à des hashes [2]. Google, de son côté, ne corrige pas Gemini CLI car l’outil est déprécié, et oriente les utilisateurs vers Antigravity [3].

SecurityWeek a résumé Plugin4Shell comme l’un des développements cybersécurité importants de la semaine: une faille zéro clic permettant à un attaquant contrôlant le dépôt d’un plugin de remplacer un commit épinglé et relu par du code malveillant sans déclencher le contrôle de SHA pinning [4]. C’est le cœur du problème pour les entreprises. Même une équipe prudente — qui utilise une place de marché, relit un plugin et exige un commit figé — peut être trompée si l’agent ne valide pas localement le résultat.

The Hacker News rapporte aussi qu’au 18 septembre aucun identifiant CVE n’avait été attribué, qu’aucun des quatre fournisseurs n’avait publié d’avis de sécurité dédié, et qu’aucune exploitation réelle n’était connue [2]. Cette absence de signal public ne doit pas être confondue avec une absence de gravité. Un plugin malveillant exécuté par un agent de code peut accéder aux mêmes fichiers, secrets et systèmes que l’utilisateur qui lance l’agent.

Les mesures à prendre dès maintenant

La première mesure est évidente: mettre à jour Claude Code vers la version 2.1.179 ou ultérieure, et Codex vers la version 0.146.0 ou ultérieure lorsque ces outils sont utilisés [2]. Les équipes qui utilisent encore Gemini CLI doivent le traiter comme un outil hérité exposé et planifier une migration. Les utilisateurs de Copilot devraient limiter les sources de plugins, surveiller les communications du fournisseur et éviter les dépôts ou places de marché qui n’imposent pas de protections fortes sur les noms de références.

La deuxième mesure est organisationnelle. Les plugins d’agents de code doivent être traités comme des dépendances de production, pas comme de simples accessoires de productivité. Les entreprises devraient exiger des extensions signées, vérifier localement les commits résolus, journaliser les installations et mises à jour, et imposer une liste de sources autorisées. La revue humaine d’un plugin n’a de valeur que si l’outil installe ensuite exactement le code relu.

La troisième mesure touche aux permissions. Un assistant de code ne devrait pas hériter automatiquement de tout l’environnement du développeur. Les espaces de travail séparés, les jetons à portée limitée, les restrictions réseau, les secrets isolés et les validations explicites avant exécution shell réduisent fortement l’impact d’un plugin compromis.

Plugin4Shell confirme que les assistants de code par IA sont devenus une nouvelle couche d’exécution dans le développement logiciel. Quand cette couche installe des extensions, se met à jour seule et agit avec les droits d’un développeur, son architecture de plugins fait partie de la chaîne d’approvisionnement. Quatre outils, un shell: la faille croyait visiblement au principe “écrire une fois, paniquer partout”.

Sources des dernières 72 heures

1. [1]AI coding agents' 0-click RCE flaw could hand attackers keys to the kingdom17 sept. 2026, 23:42 UTC
2. [2]Plugin4Shell Lets Repository Owners Swap Pinned Plugin Code Across Four AI Coding Agents18 sept. 2026, 11:01 UTC
3. [3]Zero-click RCE vulnerability hit four major AI coding agents, two remain unpatched18 sept. 2026, 00:00 UTC
4. [4]In Other News: Ransomware Developer Sentenced, Plugin4Shell AI Attack, Critical SAP Flaw18 sept. 2026, 14:25 UTC

Article généré par IA à partir d’une recherche web récente, puis conservé comme instantané éditorial daté.