VS Code triển khai trì hoãn cập nhật tự động extension 2 giờ để giảm rủi ro chuỗi cung ứng
"Microsoft announced that Visual Studio Code will delay automatic extension updates by two hours starting in VS Code 1.123 to reduce exposure to software supply chain attacks. The delay does not apply to trusted publishers such as Microsoft, GitHub, and OpenAI, and users can still update extensions manually immediately."
Cơ chế trì hoãn cập nhật extension giúp giảm nguy cơ lây lan mã độc qua chuỗi cung ứng và tăng thời gian phát hiện các bản phát hành bất thường.
Tác động vận hành chủ yếu là giảm rủi ro bảo mật cho môi trường phát triển, nhưng có thể gây chậm trễ cập nhật tính năng mới từ extension không thuộc nhà phát hành tin cậy.
Microsoft vừa công bố Visual Studio Code (VS Code) 1.123 sẽ áp dụng cơ chế trì hoãn 2 giờ trước khi tự động cập nhật extension lên phiên bản mới. Biện pháp này nhằm giảm thiểu nguy cơ từ tấn công chuỗi cung ứng phần mềm, giúp phát hiện sớm các bản phát hành extension có thể bị xâm nhập hoặc chứa mã độc.
Cụ thể, khi bật cập nhật tự động, các extension sẽ chỉ được cập nhật sau 2 giờ kể từ khi phát hành. Tuy nhiên, người dùng vẫn có thể chủ động cập nhật thủ công bất cứ lúc nào. Ngoài ra, các extension từ nhà phát hành được tin cậy (như Microsoft, GitHub, OpenAI) sẽ không bị áp dụng trì hoãn này và vẫn được cập nhật ngay lập tức.
Tính năng này được triển khai trong bối cảnh nhiều hệ sinh thái phát triển phần mềm (như npm, pnpm, Yarn, Bun, RubyGems) cũng đã bổ sung các cơ chế kiểm soát thời gian cập nhật nhằm hạn chế lây lan mã độc từ các phiên bản mới phát hành. Việc áp dụng ngưỡng thời gian tối thiểu trước khi cho phép cài đặt/cập nhật giúp giảm nguy cơ phát tán phần mềm độc hại trước khi bị phát hiện và xử lý.
Khuyến nghị kỹ thuật: Đội ngũ vận hành nên rà soát chính sách cập nhật extension, cân nhắc sử dụng tính năng trì hoãn này để tăng cường bảo vệ môi trường phát triển, đặc biệt với các extension từ nguồn không xác thực.