AIコード編集ツールCursorに深刻な脆弱性、最高値の危険度

結論

AIコーディングツール「Cursor」に、通常の見た目のプロンプト一つで安全対策の枠組みを突破し、開発者のパソコン上で任意のコマンドを実行できてしまう脆弱性が見つかった。「DuneSlide」と名付けられたこの欠陥はCVE-2026-50548とCVE-2026-50549の2件で、共通脆弱性評価システムの危険度はいずれも10点満点中9.8ときわめて高い。Cursorを開発業務で使っている企業は、修正状況を早急に確認する必要がある。

何が起きたか

セキュリティ企業Cato Networksの研究チームが発見したDuneSlideは、攻撃者がMCP経由で接続した外部サービスや、AIエージェントが読み込んだウェブ検索結果の中に指示を仕込み、Cursorに気づかれないまま実行させる「プロンプトインジェクション」を入り口にする。一つ目の欠陥（CVE-2026-50548）は、コマンド実行時の作業フォルダ指定を悪用し、サンドボックスの補助プログラム自体を書き換えることで、以降のコマンドが制限なしに実行されてしまうというもの。二つ目の欠陥（CVE-2026-50549）は、ショートカットの参照先を確認する安全チェックが、対象が存在しない場合や読み取り権限がない場合に機能しなくなる抜け穴を突くものである。いずれも成功すればサンドボックスの外側でシステムファイルを書き換えられ、開発者のパソコンや接続先のSaaS環境まで侵害が及びうる。危険度は共通脆弱性評価システムで9.8とほぼ最高値である。

両脆弱性は2026年4月2日公開のCursor 3.0で既に修正されており、それ以前のバージョンすべてが影響を受ける。今回明らかになったのは修正後の詳細な技術解説であり、まだ3.0以降に更新していない環境では対策が急務であることに変わりはない。同様の傾向は他のAI開発ツールでも報告されている。ローコード開発ツールLangflowの脆弱性CVE-2026-33017を悪用し、暗号資産のマイニングソフトを仕込む攻撃も継続して確認されており、AIコーディングツールや自動化ツールが攻撃者にとって新たな侵入経路になりつつある実態がうかがえる。

現場の実務にどう効くか

AIコーディングツールを開発業務に導入している企業は、まずCursorのバージョンが3.0以降になっているかを直ちに確認する必要がある。未更新の環境が社内に残っていないか、開発端末を一括で棚卸しすることが最初の一手になる。あわせて、外部から取り込むコードやドキュメントをAIコーディングツールに読み込ませる際のルールを見直す価値がある。具体的には、MCP経由で接続する外部サービスの範囲を必要最小限に絞る、AIエージェントに任せるコマンド実行の権限を限定する、といった対応が現実的である。

これはプロンプトインジェクションとは？仕組みと企業の対策で説明した攻撃パターンの一種であり、AIツールに読み込ませる外部データを信頼できる範囲に限定する基本方針がここでも有効になる。また、生成AIのログ・監査の考え方で触れたように、AIコーディングツールが実行したコマンドの記録を残しておけば、万が一の侵害があった際の原因究明にも役立つ。開発ツールの選定を担当する部門は、機密情報を守るAIツールの選び方で挙げた観点に、サンドボックスの堅牢性という項目を加えて再点検しておきたい。

なぜ今なのか

AIコーディングツールは開発現場での導入が急速に進む一方、外部から渡された情報を自動で解釈し実行する性質上、従来のソフトウェアにはなかった攻撃経路を抱えている。2026年に入ってからCISAの既知悪用脆弱性カタログに追加される事例も増えており、パッチが公開される前に攻撃が先行するケースも報告されている。AIを使った開発の効率化を進める企業ほど、便利さと引き換えに新しい種類のリスクを抱えていることを意識しておく必要がある。修正パッチの提供状況や影響範囲の詳細は、Cursorの公式なセキュリティ情報で随時確認してほしい。

出典

• Critical Cursor Flaws Could Let Prompt Injection Escape Sandbox and Run Commands（The Hacker News）
• DuneSlide: Two Critical RCE vulnerabilities via Zero-Click Prompt Injection in Cursor IDE（Cato Networks）