Alerta de seguridad: extensiones vulnerables de VS Code pueden robar archivos y ejecutar código remoto en millones de equipos

Investigadores en ciberseguridad han puesto sobre la mesa una advertencia seria para millones de desarrolladores: varias extensiones populares de Visual Studio Code contienen fallos que, explotados correctamente, permiten robar archivos locales y ejecutar código de forma remota. Estas herramientas —entre las que se encuentran Live Server, Code Runner, Markdown Preview Enhanced y Microsoft Live Preview— suman más de 125 millones de instalaciones, lo que convierte la vulnerabilidad en un riesgo de gran alcance para equipos y organizaciones enteras. Puedes leer el informe completo de los descubridores en el blog de OX Security aquí.

El vector de ataque descrito por los investigadores aprovecha características comunes en muchas extensiones: servidores locales que exponen recursos en localhost, la posibilidad de ejecutar JavaScript en previsualizaciones o la lectura y modificación de configuraciones del editor. En el caso de Live Server, por ejemplo, la extensión levanta por defecto un servidor de desarrollo en un puerto local. Un atacante puede inducir a la víctima a visitar una página web maliciosa y, mientras la extensión está activa, ese código embebido realiza peticiones al servidor local para recuperar archivos y enviarlos a un dominio controlado por el atacante. OX Security documenta este hallazgo con más detalle en su análisis de CVE-2025-65717 aquí.

Otros problemas detectados siguen patrones similares pero con variantes técnicas. En Markdown Preview Enhanced se ha identificado un fallo que permite la ejecución arbitraria de JavaScript cuando se abre un archivo .md especialmente manipulado; esto puede facilitar la enumeración de puertos locales y la extracción de información hacia dominios externos (ver el reporte de OX Security sobre CVE-2025-65716). Code Runner, por su parte, tiene una debilidad que permite ejecutar código si un atacante logra engañar al desarrollador para que modifique su archivo de configuraciones (settings.json), una técnica clásica de ingeniería social documentada como CVE-2025-65715. Todas estas vulnerabilidades cuentan con puntuaciones CVSS altas que reflejan su gravedad.

Microsoft Live Preview también fue señalado por permitir que un script malicioso dirigido a localhost accediera a archivos sensibles cuando la extensión estaba en ejecución. A diferencia de las otras vulnerabilidades, Microsoft publicó una corrección —de forma poco llamativa en el registro de cambios— en la versión 0.4.16 del proyecto; la evidencia y los detalles del arreglo aparecen en el changelog oficial del repositorio aquí, mientras que el análisis técnico de OX Security puede consultarse aquí.

¿Por qué este tipo de fallos es especialmente peligroso en un entorno de desarrollo? Porque los entornos de programación suelen contener claves, certificados, contraseñas en archivos de configuración y repositorios con acceso a infraestructuras empresariales. Un solo cambio inocente —abrir un fichero, visitar un sitio web o aplicar una configuración recomendada en un proyecto— puede ser suficiente para activar la cadena de explotación. Los investigadores han insistido en que con una sola extensión vulnerable bastaría para moverse lateralmente y comprometer una organización, y advierten sobre extensiones mal diseñadas o con permisos demasiado amplios que pueden ejecutar código y modificar archivos sin un control estricto.

Frente a este escenario conviene tomar medidas prácticas y realistas para reducir el riesgo. Es recomendable no aplicar configuraciones o extensiones provenientes de fuentes no verificadas, desinstalar aquello que no se use y mantener las extensiones actualizadas para recibir parches oportunos. También es prudente aislar los servicios locales detrás de cortafuegos que restrinjan conexiones entrantes y salientes, y desactivar servidores en localhost cuando no sean necesarios. Microsoft ofrece información general sobre la gestión y el uso de extensiones en su documentación del marketplace de Visual Studio Code, que puede consultarse en su guía oficial.

Además de estas medidas, las prácticas de higiene digital habituales siguen siendo esenciales: sospechar de repositorios y archivos desconocidos, evitar ejecutar pasos de configuración recibidos por canales no verificados y enseñarle a los equipos a reconocer intentos de ingeniería social que busquen alterar archivos de configuración locales. Organizaciones con políticas de seguridad maduras deberían considerar controles adicionales, como la revisión de extensiones permitidas, el uso de entornos de trabajo aislados (sandboxed) y la monitorización de tráfico inusual hacia dominios externos desde máquinas de desarrollo.

La difusión de estas vulnerabilidades pone de relieve un punto débil más amplio: las extensiones enriquecen los editores de código, pero también amplían la superficie de ataque. El trabajo de empresas de seguridad como OX Security ayuda a visibilizar estos escenarios y a presionar para que se apliquen correcciones. Si quieres revisar los análisis técnicos de cada fallo, OX Security ha publicado entradas específicas para Live Server, Markdown Preview Enhanced y Code Runner en su blog: Live Server, Markdown Preview Enhanced y Code Runner, además del análisis general aquí.

En resumen, no se trata de demonizar las extensiones, sino de tratarlas con la misma cautela que cualquier software que tenga acceso a datos sensibles. Revisar, restringir y actualizar son acciones sencillas que pueden marcar la diferencia entre un entorno de desarrollo seguro y una brecha con consecuencias graves. Mantente atento a las comunicaciones de los mantenedores de las extensiones que utilizas y aplica parches tan pronto como estén disponibles.