Windows版「Cursor」に未修正の脆弱性、リポジトリを開くだけで任意のコードが実行される恐れ

要点

• Windows版「Cursor」において、プロジェクトのルートディレクトリに「git.exe」が存在すると、警告なしに自動実行される脆弱性が判明した。

• 実行されたバイナリはユーザー権限で動作するため、ソースコードやSSHキー、クラウド認証トークンが盗まれるリスクがある。

• セキュリティ企業「Mindgard」が2025年12月に報告したが、7ヶ月が経過した2026年7月現在も修正パッチは提供されていない。

• 対策として、信頼できないリポジトリはWindows Sandbox等で開くか、ルートに不審な実行ファイルがないか事前に確認することが推奨される。

• AIを活用したコードエディタ「Cursor」のWindows版において、悪意のあるリポジトリを開くだけで任意のコードが実行される重大な脆弱性が存在することが明らかになった。本脆弱性はAIセキュリティ企業のMindgardが発見し、2026年7月14日に詳細を公開した。現時点で公式の修正パッチは提供されておらず、利用者は自己防衛策を講じる必要がある。

プロジェクトのロードと同時に実行ファイルが起動する仕組み

Mindgardの報告書によると、この脆弱性はWindows版のCursorにおいて、プロジェクトの最上階層（ルートディレクトリ）に「git.exe」という名前の実行ファイルが配置されている場合に発生する。ユーザーが該当のプロジェクトフォルダを開くと、Cursorは警告ダイアログなどを表示せず、無条件でそのファイルを実行する。

挙動の原因は、Cursorが起動時にバージョン管理システム「Git」のプログラム本体（バイナリ）を検索する仕様にある。Cursorは複数の場所からGitを探索するが、その検索範囲に開いているプロジェクトフォルダ自体が含まれている。プロセス監視ツール「Process Monitor」での解析では、メインプログラム「Cursor.exe」がルートにある「git.exe」に対し、「git rev-parse --show-toplevel」という引数を付与して起動させている様子が確認された。

同様のリポジトリルートを探索する仕様は、Microsoftの「Visual Studio Code（VS Code）」の公式ドキュメントにも記載されている。ただし、Cursorが独自にフォルダを検索しているのか、それとも修飾されていない「git」コマンドの呼び出しをWindows側に引き渡し、OSの探索順序によって選択されているのかは特定されていない。

攻撃成立の容易さと被害が及ぶ範囲

この脆弱性を悪用するために、AIモデルへのプロンプトインジェクション（意図しない動作を誘発する入力）やAIエージェントの操作、対象のパソコンへの事前アクセスなどは一切必要とされない。ユーザーがフォルダを開くという行為だけで攻撃が成立する。

実行されるバイナリはCursorを起動したユーザーの権限で動作するため、ソースコードだけでなく、SSHキーやクラウドサービスの認証トークンなど、ユーザーが保持するあらゆる重要情報へアクセスされる危険性がある。さらに、プロジェクトが開かれている限り、Cursorはこのバイナリを繰り返し実行し続ける。

Mindgardは、Windowsの「電卓（calc.exe）」を「git.exe」にリネームしてリポジトリのルートに配置する実証コード（PoC）を用いて検証した。プロジェクトをクローンしてCursorで開くだけで、電卓が自動的に次々と起動し、画面上に積み重なっていく様子が確認されている。

第三者が公開しているリポジトリをクローンすることは開発における日常的な行為であるため、攻撃者は対象のシステムにあらかじめ侵入していなくても、リポジトリを公開しておくだけで実行ファイルを被害者の端末に配置させることができる。元記事は、誰もが公開できるリポジトリという接点から、被害者の権限でのコード実行までをダイレクトにつなげてしまう点が本脆弱性の脅威であると指摘している。

報告から公開までの経緯と他の脆弱性対応とのズレ

Mindgardは本脆弱性を2025年12月15日にCursorへ報告したが、公開に至るまでの対応は難航した。Cursorのセキュリティページには「5営業日以内に受領確認を行う」とあるが、最初の返答は1ヶ月後で、自動化のエラーにより報告者が「HackerOne」へ招待されていなかったためと説明された。

その後、報告は一時「対象外」とされたが、再現の成功により2026年1月20日に受領が確定した。しかし、その後のアップデートの問い合わせに返答はなかった。

この間、Cursorは他の脆弱性（CVE-2026-26268など）の修正を進めていたが、本件は放置された。Mindgardが詳細を一般公開した2026年7月14日当日にも、別件のアドバイザリが2件公開されている。

なお、動作が確認されたのは「Cursor 3.2.16」だが、検証した最新バージョンでも動作し続けていると述べている（※最新バージョンは2026年7月10日リリースの「3.11」）。7月15日時点で公式アドバイザリの公開やCVEの割り当ては行われていない。

推奨される手動の回避策

公式の修正パッチが存在しないため、Windowsユーザーは手動での回避策を適用する必要がある。

組織内の端末管理に向けて、Mindgardは「AppLocker」や「Windows App Control」を利用し、ワークスペースのルート配下（例：%USERPROFILE%\source\repos\*\filename.exe）にある特定の実行ファイルの起動を禁止するルールを適用することを推奨している。攻撃者が配布するバイナリはハッシュ値（ファイルの同一性を識別する値）が異なるため、パスによる指定が有効である。ただし、詳細な制御にはEDR（エンドポイントでの脅威検知・対応システム）が必要となる。

個人ユーザーの対策としては、信頼できない外部のリポジトリを開く際に、使い捨ての仮想マシン（VM）や「Windows Sandbox（隔離されたデスクトップ環境）」を使用することが推奨されている。

加えて、セキュリティ企業のCymulateは、クローンしたリポジトリを開く前に、ルートディレクトリに「git.exe」をはじめ、「npx.exe」「node.exe」「where.exe」といった想定外の実行ファイルが存在しないかを確認するよう注意を促している。