Amazon Q Developer en resumen
El boletín 2026-047-AWS cubre CVE-2026-12957 y CVE-2026-12958 en Language Servers for AWS, que usan los plugins de Amazon Q Developer. Un workspace manipulado y marcado como confiable podía ejecutar comandos de la configuración del proyecto o escribir fuera del workspace mediante un symlink. Corregido en 1.69.0.
Amazon Q Developer: estado
- Afectado
- Language Servers for AWS antes de 1.69.0 (CVE-2026-12957 corregida en 1.65.0)
- Amazon Q Developer para Visual Studio Code antes de 2.20
- Amazon Q Developer para JetBrains antes de 4.3
- Amazon Q Developer para Eclipse antes de 2.7.4
- AWS Toolkit with Amazon Q para Visual Studio antes de 1.94.0.0
- Identificadores CVE
- Estado al
- Detectada por
- Wiz y Maor Dokhanian
Qué cambió con Amazon Q Developer
AWS publicó el boletín de seguridad 2026-047-AWS el 23 de junio de 2026 por dos fallas en Language Servers for AWS, el componente detrás de los plugins de Amazon Q Developer. CVE-2026-12957 es un problema de límite de confianza: después de que un usuario abre un workspace manipulado y acepta el aviso de confianza, los comandos en archivos de configuración del proyecto podían ejecutarse de forma automática. CVE-2026-12958 es una falta de validación de symlinks: un enlace en el workspace podía redirigir escrituras posteriores del agente a una ruta fuera de él, sin pedir aprobación.
AWS califica ambas como High (CVSS v4 8.5). Language Servers for AWS 1.69.0 corrige las dos; la primera ya estaba corregida en 1.65.0. Los plugins afectados son Amazon Q Developer para VS Code antes de 2.20, para JetBrains antes de 4.3, para Eclipse antes de 2.7.4 y AWS Toolkit with Amazon Q para Visual Studio antes de 1.94.0.0. AWS indica que no hay soluciones alternativas y da crédito a Wiz y a Maor Dokhanian.
Cómo corregirlo: Amazon Q Developer
1. Actualizar
Actualiza al plugin más reciente de Amazon Q Developer para tu IDE, que incluye Language Servers for AWS 1.69.0 o posterior. AWS no ofrece soluciones alternativas.
aws.amazon.com (se abre en una pestaña nueva)2. Actualizar
Si mantienes un fork o código derivado de los language servers, confirma que incluya ambas correcciones.
aws.amazon.com (se abre en una pestaña nueva)
Avisos de seguridad
- AWS Security Bulletin 2026-047-AWS (se abre en una pestaña nueva)aws.amazon.com
- GHSA-xhcr-j4j9-3gh7 (CVE-2026-12957) (se abre en una pestaña nueva)github.com
- GHSA-6v3r-4p5c-mrp5 (CVE-2026-12958) (se abre en una pestaña nueva)github.com
- NVD CVE-2026-12957 (se abre en una pestaña nueva)nvd.nist.gov
- NVD CVE-2026-12958 (se abre en una pestaña nueva)nvd.nist.gov
Dónde comparar Amazon Q Developer
Clasificaciones independientes y recursos oficiales para comparar este modelo por tu cuenta. Las posiciones cambian con frecuencia; cada sitio muestra sus datos actuales.
Por qué Amazon Q Developer importa para los negocios
Abrir el repositorio de otra persona y aceptar que es confiable es rutina para cualquier desarrollador, y aquí bastaba para poner las herramientas de un asistente de IA en manos de un atacante. Actualiza todos los plugins de Amazon Q Developer, confirma que los forks o compilaciones internas de los language servers incluyan las correcciones y trata el aviso de confianza del workspace como una decisión de seguridad real, no como un trámite.
Fuentes de esta noticia
- CVE-2026-12957 and CVE-2026-12958, Issues in Language Servers for AWS and Amazon Q Developer Plugins (se abre en una pestaña nueva)Oficial
AWS Security Bulletins · aws.amazon.com
- Arbitrary Code Execution in Language Servers for AWS (GHSA-xhcr-j4j9-3gh7) (se abre en una pestaña nueva)Oficial
AWS on GitHub · github.com
- Arbitrary file write in Language Servers for AWS (GHSA-6v3r-4p5c-mrp5) (se abre en una pestaña nueva)Oficial
AWS on GitHub · github.com
- CVE-2026-12957 Detail (se abre en una pestaña nueva)Oficial
NIST National Vulnerability Database · nvd.nist.gov
- CVE-2026-12958 Detail (se abre en una pestaña nueva)Oficial
NIST National Vulnerability Database · nvd.nist.gov
Última verificación: . IA Compa resume anuncios públicos para lectores de negocios. No tenemos relación con las empresas mencionadas. Confirma siempre los detalles, precios y disponibilidad con la fuente oficial.
- #security
- #cve
- #ai-coding-agents
- #workspace-trust
- #amazon-q-developer
- #aws