Lỗ hổng 0day trên Cursor: Khi sự im lặng của nhà phát triển đặt hàng triệu lập trình viên vào vòng nguy hiểm

Bài viết được dịch và tổng hợp từ tin tức gốc. Bạn có thể đọc bài viết gốc bằng tiếng Anh tại đây.

Điểm tin nhanh:

• Lỗ hổng 0day trên Cursor cho phép thực thi mã tùy ý (RCE) mà không cần sự tương tác của người dùng.
• Kẻ tấn công chỉ cần đặt một tệp git.exe độc hại vào thư mục gốc của dự án.
• Mặc dù đã được báo cáo từ tháng 12/2025, lỗ hổng vẫn tồn tại sau hơn 6 tháng và hàng trăm phiên bản cập nhật.

Sự tiện lợi của các công cụ AI-assisted như Cursor đã thay đổi hoàn toàn cách chúng ta viết code, nhưng liệu chúng ta có đang đánh đổi sự an toàn lấy tốc độ? Khi một công cụ phát triển phần mềm phổ biến với hơn 7 triệu người dùng lại tồn tại một lỗ hổng 0day đơn giản đến mức đáng kinh ngạc, đó không chỉ là vấn đề kỹ thuật, mà là một hồi chuông cảnh báo về quy trình bảo mật trong kỷ nguyên AI. Nếu bạn đang coi việc tối ưu hóa quy trình làm việc là ưu tiên hàng đầu, hãy đảm bảo rằng bạn không vô tình mở cửa cho những rủi ro bảo mật tiềm ẩn, như cách chúng ta từng thảo luận về việc xây dựng website theo triết lý BPS để đảm bảo tính an toàn và ổn định.

Bản chất của lỗ hổng 0day trên Cursor

Lỗ hổng này không đòi hỏi các kỹ thuật tấn công phức tạp như prompt injection hay khai thác bộ nhớ. Thay vào đó, nó tận dụng logic xử lý đường dẫn (path resolution) của Cursor trên hệ điều hành Windows. Khi một dự án được mở, Cursor tự động tìm kiếm các tệp thực thi git.exe trong nhiều thư mục, bao gồm cả thư mục gốc của workspace. Nếu một tệp git.exe độc hại được đặt tại đó, Cursor sẽ thực thi nó mà không cần bất kỳ lời nhắc hay sự cho phép nào từ người dùng.

Quy trình khai thác thực tế

Kẻ tấn công có thể dễ dàng ngụy trang một tệp thực thi độc hại thành git.exe. Khi lập trình viên mở dự án, quá trình thực thi diễn ra ngay lập tức. Điều này tương tự như cách chúng ta cần thận trọng khi xây dựng AI Agent quản lý bảo trì nhà cửa, nơi việc kiểm soát quyền truy cập và thực thi là yếu tố sống còn.

Phản ứng từ phía nhà phát triển và sự im lặng khó hiểu

Mindgard đã báo cáo vấn đề này từ ngày 15/12/2025. Tuy nhiên, sự thiếu phản hồi từ phía Cursor đã đặt ra những câu hỏi lớn về quy trình bảo mật. Việc không có thông báo chính thức hay bản vá kịp thời sau hàng trăm phiên bản cập nhật cho thấy một lỗ hổng trong quản trị rủi ro. Điều này nhắc nhở chúng ta rằng, dù công nghệ có hiện đại đến đâu, việc đừng theo đuổi mã nguồn hoàn hảo mà hãy xây dựng một mạng lưới an toàn biết phản hồi vẫn là kim chỉ nam cho mọi kỹ sư.

Lưu ý: Không nên tin tưởng tuyệt đối vào các công cụ IDE mà không có các lớp bảo mật bổ sung tại cấp độ hệ điều hành (EDR hoặc AppLocker).

Đánh giá & Lời khuyên Thực tiễn

Từ góc độ của một Tech Lead, lỗ hổng này là một bài học đắt giá về việc tin tưởng vào các tệp thực thi trong môi trường làm việc.

• Ưu điểm: Lỗ hổng giúp cộng đồng nhận ra tầm quan trọng của việc kiểm soát tệp thực thi trong workspace.
• Nhược điểm: Rủi ro thực thi mã tùy ý (RCE) cực kỳ cao, ảnh hưởng trực tiếp đến dữ liệu cá nhân và mã nguồn doanh nghiệp.
• Phạm vi ứng dụng: Cảnh báo cho tất cả người dùng Windows đang sử dụng Cursor.

Để bảo vệ bản thân, bạn nên sử dụng Windows Sandbox hoặc các máy ảo (VM) khi mở các repository không rõ nguồn gốc. Nếu bạn đang làm việc trong môi trường doanh nghiệp, hãy áp dụng các chính sách AppLocker để hạn chế việc thực thi các tệp không xác định từ thư mục workspace. Việc này cũng quan trọng như khi bạn tối ưu hóa quy trình kiểm thử với Versioned Builds để đảm bảo tính toàn vẹn của sản phẩm.

Câu hỏi thường gặp (FAQ)

Lỗ hổng này có ảnh hưởng đến người dùng macOS hay Linux không?

Hiện tại, các báo cáo tập trung vào môi trường Windows do cách xử lý tệp thực thi .exe đặc thù.

Tôi có nên gỡ bỏ Cursor ngay lập tức không?

Không nhất thiết, nhưng bạn cần cẩn trọng khi mở các dự án từ nguồn không tin cậy. Hãy sử dụng môi trường cô lập (Sandbox).

Khi nào lỗ hổng này sẽ được vá?

Hiện tại chưa có thông tin chính thức từ Cursor, vì vậy người dùng cần chủ động phòng vệ bằng các biện pháp bảo mật hệ thống.

Kết luận

Lỗ hổng 0day trên Cursor là lời nhắc nhở rằng ngay cả những công cụ AI tiên tiến nhất cũng có thể tồn tại những sai sót kỹ thuật cơ bản. Là lập trình viên, chúng ta cần duy trì tư duy phản biện và luôn chủ động thiết lập các lớp bảo mật cho môi trường làm việc của mình. Hãy theo dõi hi_dev để cập nhật những thông tin bảo mật mới nhất và chia sẻ bài viết này nếu bạn thấy hữu ích cho cộng đồng.