Quattro CVE contro OpenAI's Codex sono state pubblicate nel GitHub Advisory Database il 1° settembre alle 18:30 UTC, arrivando da NVD e non da un advisory del maintainer. Ciascuna riguarda un modo in cui un .git/config controllato dall'attaccante trasforma le funzioni di convenienza di Codex in esecuzione di codice.

Il meccanismo

CVE-2026-19590 sfrutta core.hooksPath per puntare a hook git dell'attaccante. CVE-2026-19592 usa core.fsmonitor, il cui helper viene eseguito durante la normale raccolta dei metadati. CVE-2026-19591 sfrutta il token di PowerShell --% per interrompere l'analisi, che il parser di sicurezza dei comandi interpreta male, lasciando passare un comando git non approvato che scrive file. CVE-2026-19593 usa attr.tree con un clean filter o un process filter per eseguire un programma dell'attaccante.

Cosa sbaglia la lettura comune

Queste vulnerabilità sembreranno quattro nuove falle. Tre sono state chiuse a metà maggio: le pull request di correzione sono state unite rispettivamente il 15 maggio, il 14 maggio e il 14 maggio, quindi il codice distribuito è stato corretto da oltre tre mesi e i ritardi nella divulgazione vanno da 109 a 110 giorni. La notizia è il ritardo e i campi vuoti, non una nuova esposizione. Il secondo riflesso — che il sandbox abbia contenuto tutto — è smentito dagli advisory nelle loro stesse parole: il codice dell'attaccante viene eseguito fuori dal command sandbox di Codex, senza richiesta di approvazione e, in due casi, senza alcuna interazione con il modello. Terzo, git clone non è l'attacco. Tutte e quattro richiedono l'apertura di un repository il cui .git/config locale sia arrivato intatto — uno zip, una directory copiata, un volume condiviso — cosa che un normale clone non comporta.

I record dicono quasi nulla

Tutti e quattro riportano gravità “unknown” e nessun punteggio CVSS, né v3 né v4. Ancora più rilevante, l'array vulnerabilities è vuoto in ognuno, quindi nessun advisory indica un intervallo interessato o una versione corretta: nel record non c'è alcun “aggiorna a X”. La quarta CVE non rimanda a alcuna pull request di correzione, lasciando il lettore nell'impossibilità di stabilire dal record se sia stata risolta.

Il modello di cui fa parte

Questo è il threat model dell'agentic coding nella sua forma più pura. Il primitivo di esecuzione è la comodità dell'agente — la lettura automatica dei metadati git all'apertura di un workspace — e il sandbox a cui tutti si affidano viene aggirato prima ancora che il modello venga consultato.