Hvad Cato fandt i Cursor
Cato AI Labs har offentliggjort to kritiske sårbarheder i Cursor, den AI-kodeeditor som producenten siger bruges af mere end halvdelen af Fortune 500. De hedder DuneSlide og er registreret som CVE-2026-50548 og CVE-2026-50549, begge med en CVSS-score på 9,8 ud af 10, eller 9,3 på den nyere skala 4.0. De er rettet i Cursor 3.0, udgivet den 2. april 2026, og alle ældre versioner er ramt.
Der var ikke registreret aktiv udnyttelse på tidspunktet for offentliggørelsen. Vejen til en rettelse var ikke glat. Cato meldte problemet den 19. februar, producenten afviste det først den 23. februar, genåbnede sagen bagefter, leverede den første rettelse den 1. april og den anden den 1. juni. CVE-numrene blev tildelt den 5. juni.
Hvordan en webside bliver til en kommando
Teknikken er prompt injection uden et eneste klik. Udvikleren skriver aldrig en skadelig ordre. Det er agenten, der læser indhold på brugerens vegne: svaret fra en tilsluttet Model Context Protocol-server, en side fra en websøgning eller en fil inde i projektet. Det indhold bærer skjulte ordrer, som modellen derefter følger.
Den første fejl misbruger parameteren working_directory. Når agenten sætter den til en sti uden for standarden, føjer Cursor stien til listen over tilladt skrivning uden at tjekke den. En indsprøjtet instruktion kan dermed overskrive en systemfil, for eksempel sandbox-hjælperens binærfil eller en shell-profil. Den anden fejl udnytter et symlink-tjek, der giver efter ved fejl: kan Cursor ikke opløse en genvej, stoler den på stien inde i projektet og skriver lige igennem til den samme hjælper. Er hjælperen først overskrevet, kører den næste kommando uden for sandboxen med udviklerens fulde rettigheder.
Læselisten er nu angrebsfladen
Den ubehagelige forskydning handler om, hvad der tæller som input. I årevis bestod trusselsbilledet for en kodeeditor af den kode, man selv skrev, og de udvidelser, man installerede. En autonom agent udvider det til alt, hvad den læser af sig selv: en afhængigheds README, svaret fra et værktøj, en hentet side. Hver af dem er nu en udførbar instruktion, og virkningsradius er styresystemet snarere end en browserfane.
For en virksomhed, der har rullet AI-kodeassistenter ud til sine ingeniører, bliver værktøjet dermed et led i forsyningskæden med rækkevidde helt ind til maskinen, ikke et produktivitetsplugin. Under NIS2 i EU, og under de tilsvarende pligter som britiske virksomheder allerede bærer, er sikkerheden i den software, du giver medarbejderne, ledelsens ansvar, og en uopdateret agent, der stoler på ukontrolleret indhold, falder lige ind under den pligt.
Hvad ejere bør gøre i denne uge
Det øjeblikkelige skridt er versionshygiejne. Bekræft, at hver udvikler kører Cursor 3.0 eller nyere, for intet før den er sikkert, og stil det samme spørgsmål om enhver anden agent-editor eller IDE-assistent i brug. Afklar, hvilke AI-værktøjer der selvstændigt må skrive filer eller køre kommandoer, og hvem der har godkendt det.
Det varige skridt er at behandle en agents læsekilder som upålidelige som udgangspunkt. Begræns, hvilke Model Context Protocol-servere et team må tilslutte, hold agenterne væk fra ukontrolleret eksternt indhold hvor du kan, og kræv menneskelig godkendelse for skrivninger uden for arbejdsprojektet. Værktøjet er værd at beholde. Rettighederne omkring det kræver nu den samme disciplin, som du allerede bruger på enhver komponent, der kan røre en kørende maskine.
Læs videre: En AI kørte selv et helt ransomware-angreb | 29 år gammel Squid-fejl lækker logins i klartekst
