CVE-2026-48027

Esto no es una falla de código sino un compromiso de la cadena de suministro de software: el 19 de mayo de 2026 se publicó una compilación maliciosa de la extensión Nx Console, la versión 18.95.0, en Visual Studio Marketplace y OpenVSX. Estuvo activa durante aproximadamente 18 minutos en el Marketplace y unos 36 en OpenVSX antes de su retiro, pero cualquiera que instalara o actualizara automáticamente en esas ventanas recibió código controlado por el atacante que corría con los privilegios del desarrollador dentro de su editor. La versión maliciosa está señalada como funcionalidad maliciosa embebida, no como un error a disparar.

Nx Console es una extensión de IDE popular para las herramientas de compilación Nx y Lerna, así que las víctimas son desarrolladores, y el código que corre en el entorno de un desarrollador puede leer código fuente, tokens, claves SSH y credenciales de nube y pivotar hacia CI/CD, el patrón de los recientes ataques a extensiones de editores y a la cadena de suministro de npm. La breve ventana de exposición limita el radio de impacto, pero no lo elimina. Actualice a la 18.100.0 limpia, ya que la 18.95.0 es la única compilación comprometida. Cualquiera que pueda haber ejecutado la versión maliciosa debe rotar las credenciales y tokens presentes en la máquina y revisar en busca de acceso no autorizado, porque el parcheo no deshace los secretos ya exfiltrados.