La risposta breve
Il 1º luglio 2026, Cato AI Labs ha rivelato due falle critiche di esecuzione di codice remoto nell'editor di codice IA Cursor — CVE-2026-50548 e CVE-2026-50549, entrambe valutate 9.8 secondo CVSS 3.1 —, in cui una prompt injection zero-click esce dalla sandbox dei comandi dell'editor ed esegue codice sulla macchina dello sviluppatore. Entrambe sono corrette in Cursor 3.0, rilasciata il 2 aprile 2026; ogni versione precedente è interessata. Non ci sono segni di sfruttamento in the wild. Il punto per i responsabili engineering va oltre un singolo editor: un agente IA che legge autonomamente pagine web, file di repository e strumenti collegati ha trasformato contenuti non attendibili in un canale di esecuzione di codice.
Cursor afferma che il suo editor è usato in oltre metà delle aziende Fortune 500, quindi la popolazione di endpoint sviluppatore esposti è ampia ovunque i team non siano ancora passati alla 3.0. Prima patchate; poi decidete come gli agenti di coding IA rientrano nel vostro modello di minaccia, perché Cato dice di riscontrare la stessa classe di problema anche in altri agenti diffusi.
Cosa ha rivelato Cato
I ricercatori di Cato AI Labs, il braccio di ricerca di Cato Networks, hanno pubblicato un'analisi che chiamano DuneSlide: una coppia di vulnerabilità che trasformano l'agente IA di Cursor in un veicolo di consegna per l'esecuzione di codice remoto. L'idea centrale è che la prompt injection non deve fermarsi al livello del modello linguistico. Nutrito con le giuste istruzioni nascoste, l'agente può essere guidato verso classiche operazioni sul file system mai considerate parte della superficie di attacco dell'editor — e quelle operazioni bastano a neutralizzare la sandbox che dovrebbe contenere i comandi eseguiti dall'agente.
La gravità riflette questa portata. Entrambi i problemi sono valutati 9.8 secondo CVSS 3.1 (9.3 sulla nuova scala CVSS 4.0), e il risultato è il controllo totale dell'ambiente dello sviluppatore. Poiché un editor moderno è tipicamente connesso a console cloud, registri di pacchetti e strumenti SaaS, un endpoint compromesso raramente resta confinato a una sola macchina — ecco perché il rischio degli agenti IA appartiene alla stessa conversazione del modo in cui i team costruiscono agenti e assistenti IA per i propri prodotti. La cronologia conta per il triage: Cato ha segnalato le falle in privato il 19 febbraio 2026; Cursor ha dapprima respinto la segnalazione, poi l'ha riaperta e ha corretto entrambi i bug nel rilascio Cursor 3.0 il 2 aprile; gli ID CVE sono stati assegnati il 5 giugno, e la divulgazione pubblica è avvenuta il 1º luglio. È importante: Cato la inquadra come ricerca, e in the wild non è stato osservato alcuno sfruttamento.
Come funziona l'evasione dalla sandbox
Cursor esegue i comandi shell emessi dall'agente in una sandbox, e la sicurezza di quella sandbox dipende da un piccolo numero di assunzioni di fiducia. DuneSlide ne rompe due. In CVE-2026-50548, la sandbox si fida della directory di lavoro che l'agente seleziona per un comando. Se istruzioni iniettate puntano quella directory verso un percorso di sistema invece che verso il progetto, l'agente può scrivere dove non dovrebbe — anche sopra il binario cursorsandbox che applica l'isolamento. Sovrascrivi chi applica la regola, e il comando successivo viene eseguito senza alcuna sandbox, con i privilegi dello sviluppatore stesso.
CVE-2026-50549 abusa di un controllo di sicurezza sui collegamenti simbolici. Prima di scrivere, Cursor prova a risolvere un symlink per confermare che la destinazione reale sia dentro il progetto. Il bug è nel fallback: quando quella risoluzione fallisce — perché la destinazione non esiste, o un attaccante ha rimosso l'accesso in lettura a una cartella nel percorso —, l'editor non rifiuta la scrittura. Al contrario, si fida del percorso apparentemente interno al progetto e prosegue, lasciando che un link costruito ad arte reindirizzi la scrittura fuori dallo spazio di lavoro. Ciascuna delle due falle, da sola, basta per evadere.
Il meccanismo di consegna è ciò che rende questo un problema moderno anziché un banale bug di path traversal. L'attaccante non tocca mai la vostra tastiera. Piazza istruzioni in qualcosa che il vostro agente legge per vostro conto — una pagina restituita da una ricerca web, un file in una dipendenza o un repository, o la risposta di un server Model Context Protocol (MCP) collegato. L'agente, facendo esattamente ciò che avete chiesto in un prompt innocuo, segue le istruzioni sepolte e porta a termine l'evasione. Ecco perché si parla di zero-click: dopo la prima richiesta ordinaria, non serve alcuna ulteriore azione umana.
Le due falle in breve
Entrambe critiche, entrambe corrette nello stesso rilascio, ed entrambe con una radice comune — la sandbox che si fida di un percorso che l'agente può essere indotto a scegliere.
| Dettaglio | CVE-2026-50548 | CVE-2026-50549 |
|---|---|---|
| Tipo | Fiducia nella directory di lavoro → sovrascrittura del binario della sandbox | Fallback del controllo symlink → scrittura fuori dal progetto |
| CVSS 3.1 | 9.8 Critica | 9.8 Critica |
| Vettore di ingresso | Prompt injection indiretta (zero-click) tramite contenuti che l'agente legge (web, repo, MCP) | |
| Impatto | RCE senza sandbox come utente; raggiunge gli spazi cloud & SaaS collegati | |
| Interessate | Tutte le versioni di Cursor precedenti alla 3.0 | |
| Corrette in | Cursor 3.0 (rilasciata il 2 aprile 2026) | |
| Sfruttate? | Nessuno sfruttamento noto al momento della divulgazione del 1º luglio 2026 | |
Cosa significa per i team software US & UE
Togliete le specificità e DuneSlide è l'anteprima di una categoria, non di un caso isolato. L'industria ha passato due anni a integrare agenti autonomi nel flusso di lavoro degli sviluppatori, e quegli agenti leggono contenuti non attendibili — risultati di ricerca, repo di terze parti, metadati di pacchetti, output di strumenti — come parte routinaria del loro lavoro. Ognuno di quegli input è ora un potenziale canale di istruzioni. La sandbox doveva essere la rete di sicurezza; DuneSlide mostra che quella rete può essere smontata dallo stesso agente che doveva contenere. La difesa in profondità, non una singola sandbox, è il progetto che sopravvive a questo.
Per i prodotti regolamentati il raggio d'impatto è la parte scomoda. Un endpoint sviluppatore contiene tipicamente codice sorgente, credenziali cloud e token per SaaS di produzione. Nel FinTech e nell'HealthTech, un solo portatile compromesso può mettere a portata percorsi di dati dei clienti e chiavi di deployment, il che trasforma una CVE di editor in una questione di risposta agli incidenti e di notifica. Ecco perché il rischio degli agenti IA va registrato nello stesso registro degli altri controlli di supply chain e di SDLC sicuro, e perché i programmi di preparazione a SOC 2 ora devono dire qualcosa di preciso su come gli agenti sono isolati in sandbox, aggiornati e monitorati.
La buona notizia è che il fix immediato qui è noioso ed efficace: aggiornare. Cursor 3.0 chiude entrambi i buchi, e la popolazione a rischio più alto sono semplicemente i team che non l'hanno ancora distribuito. Il lavoro più difficile e più duraturo è la governance — decidere a quali server MCP un agente può connettersi, applicare il privilegio minimo affinché l'editor non sia autenticato in produzione, limitare e ruotare i token che l'agente può raggiungere, e mettere l'endpoint sviluppatore sotto lo stesso monitoraggio di qualsiasi altro host sensibile.
Cosa fare questa settimana
Una sequenza breve e pratica che trasforma la divulgazione in azione anziché in ansia:
- Forzate l'aggiornamento. Confermate che ogni sviluppatore sia su Cursor 3.0 o versione successiva; bloccate o segnalate le versioni più vecchie tramite la gestione dei dispositivi. Questo chiude del tutto CVE-2026-50548 e CVE-2026-50549.
- Inventariate le vostre connessioni MCP. Elencate quali server e strumenti i vostri agenti possono leggere. Le connessioni non attendibili o inutili sono la superficie di iniezione — riducetele.
- Applicate il privilegio minimo all'editor. Non autenticate l'editor IA su account cloud o SaaS di produzione. Usate token ristretti e di breve durata, e separate le identità di sviluppo da quelle di deployment.
- Monitorate l'endpoint. Trattate la macchina dello sviluppatore come un host sensibile: EDR, logging del traffico in uscita e allarmi su scritture inattese in percorsi di sistema o nuovi tunnel in uscita.
- Integrate gli agenti nel vostro SDLC. Aggiungete gli agenti di coding IA al vostro modello di minaccia, alla checklist di SDLC sicuro e ai test di sicurezza periodici, così che la prossima CVE di agente sia un elemento con proprietario noto anziché una corsa contro il tempo.
Nulla di tutto ciò è un motivo per abbandonare gli agenti di coding IA — il vantaggio di produttività è reale, e il fix di DuneSlide è un aggiornamento di routine. Ma la divulgazione è un segnale chiaro: nel momento in cui un agente agisce autonomamente su contenuti che non avete scritto, appartiene al vostro programma di sicurezza, non fuori da esso.
Domande frequenti
Cosa sono le vulnerabilità DuneSlide di Cursor?
DuneSlide è il nome dato da Cato AI Labs a due falle RCE critiche nell'editor di codice IA Cursor — CVE-2026-50548 e CVE-2026-50549, entrambe valutate 9.8 secondo CVSS 3.1. Ciascuna consente a una prompt injection indiretta di uscire dalla sandbox dei comandi di Cursor ed eseguire codice sulla macchina dello sviluppatore, senza azione dell'utente oltre a un prompt iniziale innocuo.
Le falle di Cursor sono attivamente sfruttate?
No. Al momento della divulgazione del 1º luglio 2026 non ci sono prove di sfruttamento in the wild; Cato ha presentato DuneSlide come ricerca. Il rischio pratico si concentra sui team che usano ancora versioni di Cursor precedenti alla 3.0.
Quale versione di Cursor lo corregge?
Entrambe le falle sono corrette in Cursor 3.0, rilasciata il 2 aprile 2026. Ogni versione precedente è interessata. Cato ha segnalato i problemi il 19 febbraio, gli ID CVE sono stati assegnati il 5 giugno, e la divulgazione è seguita il 1º luglio. Assicuratevi che ogni sviluppatore sia sulla 3.0 o versione successiva.
Come fa la prompt injection a portare all'esecuzione di codice remoto?
L'agente legge per voi contenuti non attendibili — una pagina web, un file di repo o l'output di uno strumento MCP collegato — e un attaccante vi nasconde istruzioni. Quelle istruzioni guidano l'agente a scrivere fuori dal progetto e a sovrascrivere il binario che applica la sandbox, così il comando successivo viene eseguito senza sandbox con i vostri privilegi.
Cosa dovrebbero fare i team che usano agenti di coding IA?
Aggiornate Cursor alla 3.0 o versione successiva, poi governate l'agente: limitate i server MCP che può leggere, applicate il privilegio minimo affinché non sia autenticato in produzione, limitate e ruotate i token raggiungibili, e monitorate l'endpoint dello sviluppatore. Aggiungete gli agenti IA al vostro SDLC sicuro e ai test di sicurezza periodici anziché affidarvi alla sola sandbox.
Fonti
Cato Networks — DuneSlide: Two Critical RCE Vulnerabilities via Zero-Click Prompt Injection in Cursor IDE, 1º luglio 2026 (fonte primaria)
CSO Online — Sandbox bypass flaws in Cursor IDE highlight prompt injection as an RCE vector, 1º luglio 2026
The Hacker News — Critical Cursor Flaws Could Let Prompt Injection Escape Sandbox and Run Commands, luglio 2026