Quatro CVEs contra o Codex, da OpenAI, foram publicados no GitHub Advisory Database em 1º de setembro às 18:30 UTC, entrando a partir do NVD e não de um aviso do mantenedor. Cada um trata de uma forma pela qual um .git/config controlado por um atacante transforma os próprios recursos de conveniência do Codex em execução de código.

O mecanismo

CVE-2026-19590 abusa de core.hooksPath para apontar para hooks Git do atacante. CVE-2026-19592 usa core.fsmonitor, cujo auxiliar é executado durante a coleta normal de metadados. CVE-2026-19591 explora o token de interrupção de análise --% do PowerShell, que o analisador de segurança de comandos interpreta erroneamente, permitindo que passe um comando Git não aprovado que grava arquivos. CVE-2026-19593 usa attr.tree com um filtro clean ou process para executar um programa do atacante.

O que a leitura comum erra

Esses itens parecerão quatro falhas novas. Três foram fechadas em meados de maio: os pull requests de correção foram incorporados em 15 de maio, 14 de maio e 14 de maio, respectivamente, de modo que o código lançado já está corrigido há mais de três meses e as lacunas de divulgação variam de 109 a 110 dias. A novidade é o atraso e os campos vazios, não uma exposição recente. A segunda reação automática — a de que o sandbox conteve isso — é contrariada pelos próprios avisos, que dizem que o código do atacante é executado fora do sandbox de comandos do Codex, sem solicitação de aprovação e, em dois casos, sem qualquer interação do modelo. Terceiro, git clone não é o ataque. Todos os quatro exigem abrir um repositório cujo .git/config local chegou intacto — um zip, um diretório copiado, um volume compartilhado — algo que um clone normal não transporta.

Os registros dizem muito pouco

Todos os quatro trazem gravidade “unknown” e nenhuma pontuação CVSS, seja v3 ou v4. Mais importante, a matriz vulnerabilities está vazia em todos eles, de modo que nenhum aviso informa faixa afetada ou versão corrigida: não há nenhum “atualize para X” no registro. O quarto CVE não faz referência a nenhum pull request de correção, deixando o leitor sem conseguir determinar pelo registro se ele foi corrigido.

O padrão ao qual isso pertence

Este é o modelo de ameaça da codificação agêntica em sua forma mais pura. O primitivo de execução é a conveniência do agente — ler automaticamente metadados Git quando um workspace é aberto — e o sandbox em que todos confiam é contornado antes mesmo de o modelo ser consultado.