Quatre CVE visant OpenAI's Codex ont été publiées dans la GitHub Advisory Database le 1er septembre à 18:30 UTC, arrivant via le NVD plutôt que par une notice de mainteneur. Chacune concerne une manière dont un .git/config contrôlé par un attaquant transforme les fonctionnalités de confort de Codex en exécution de code.

Le mécanisme

CVE-2026-19590 exploite core.hooksPath pour pointer vers des hooks git de l'attaquant. CVE-2026-19592 utilise core.fsmonitor, dont l'assistant est exécuté lors de la collecte ordinaire des métadonnées. CVE-2026-19591 exploite le jeton d'arrêt de l'analyse de PowerShell, --%, que le parseur de sécurité des commandes interprète mal, laissant passer une commande git non approuvée qui écrit un fichier. CVE-2026-19593 utilise attr.tree avec un filtre clean ou process pour exécuter un programme de l'attaquant.

Ce que l'interprétation courante passe à côté

Ces vulnérabilités peuvent passer pour quatre failles inédites. Trois ont pourtant été corrigées à la mi-mai : les demandes de fusion des correctifs ont été intégrées le 15 mai, le 14 mai et le 14 mai respectivement, de sorte que le code distribué est corrigé depuis plus de trois mois et que les décalages de divulgation vont de 109 à 110 jours. La nouveauté tient au délai et aux champs vides, pas à une exposition fraîche. Le deuxième réflexe — penser que le sandbox contenait cela — est contredit par les avis eux-mêmes : le code de l'attaquant s'exécute en dehors du sandbox de commandes de Codex, sans invite d'approbation et, dans deux cas, sans aucune interaction du modèle. Enfin, git clone n'est pas l'attaque. Les quatre cas exigent l'ouverture d'un dépôt dont le .git/config local est arrivé intact — une archive zip, un répertoire copié, un volume partagé — ce qu'un clone normal n'embarque pas.

Les dossiers ne disent presque rien

Les quatre portent une gravité « unknown » et aucun score CVSS, ni en v3 ni en v4. Plus important encore, le tableau vulnerabilities est vide dans chacun des cas, si bien qu'aucun avis ne nomme une plage affectée ou une version corrigée : il n'y a nulle part dans le dossier de recommandation du type « mettre à niveau vers X ». La quatrième CVE ne renvoie à aucune demande de fusion de correctif, laissant le lecteur incapable de déterminer à partir du dossier si elle a été corrigée.

À quel schéma cela appartient

Il s'agit du modèle de menace du codage agentique dans sa forme la plus pure. Le primitif d'exécution, c'est la commodité de l'agent — lire automatiquement les métadonnées git à l'ouverture d'un espace de travail — et le sandbox auquel tout le monde fait confiance est contourné avant même que le modèle ne soit consulté.