악성 git.exe를 프로젝트 루트에 심어놓으면, 개발자가 파일을 열기만 해도 자동 실행되거든요

AI 코딩 툴 Cursor에서 6개월째 미패치 상태인 제로데이 취약점이 공개됐어요. 악성 git.exe를 프로젝트 루트에 심어놓으면, 개발자가 파일을 열기만 해도 자동 실행되거든요.

클릭도, 승인 창도, 경고도 없어요. 저장소를 여는 것만으로 임의 코드가 실행돼요. Cursor는 일간 활성 사용자 100만 명 이상, 유료 사용자 100만 명 이상, 5만 개 기업이 쓰는 툴이에요.

보안 연구팀 Mindgard가 2025년 12월 15일 당일 신고했고, 이후 197개 이상의 버전이 출시됐지만 최신 버전에도 문제가 남아 있어요. 결국 연구팀은 '공개 외엔 방법이 없다'는 결론에 도달했어요.