Le 17 septembre 2026, les chercheurs de la firme AIR Security ont divulgué publiquement une vulnérabilité critique baptisée Plugin4Shell. Cette faille affecte simultanément les quatre agents de code les plus utilisés en entreprise : Claude Code d'Anthropic, Codex d'OpenAI, GitHub Copilot de Microsoft et Gemini CLI de Google. La divulgation a été coordonnée après une période de disclosure responsable entamée en juin 2026 — soit quatre mois après la découverte des premiers exploits fonctionnels.
Plugin4Shell est qualifiée de vulnérabilité d'exécution de code à distance zéro-clic (zero-click RCE). Ce qualificatif mérite d'être précisé : la victime n'a pas besoin de cliquer, d'approuver une mise à jour, ni même de réinstaller quoi que ce soit. L'exposition survient dès lors qu'un plugin malveillant ou compromis est présent dans le marketplace utilisé par l'agent — même si ce plugin a été correctement installé, audité et épinglé.
Les réponses des quatre éditeurs divergent significativement : Anthropic et OpenAI ont publié des correctifs. Microsoft n'a pas encore déployé de patch. Google a fait le choix de déprécier entièrement Gemini CLI plutôt que de le corriger, laissant toutes les installations existantes exposées jusqu'à migration.
Cet article récapitule le mécanisme technique, le périmètre exact de l'exposition, l'état des correctifs par éditeur et les actions à prendre immédiatement dans vos environnements.
Mécanisme : comment Plugin4Shell contourne le SHA pinning
Le SHA pinning est le mécanisme central de sécurité des plugins d'agents de code. Son principe : lorsqu'un développeur ou une équipe installe un plugin depuis un marketplace, l'agent enregistre l'empreinte SHA du commit exact du code installé. À chaque exécution, l'agent vérifie théoriquement que le code en cours d'utilisation correspond à cette empreinte — garantissant que personne n'a altéré le plugin entre l'installation et l'exécution.
Plugin4Shell brise cette garantie. La faille repose sur une hypothèse erronée commune aux quatre implémentations : les agents vérifient que l'empreinte SHA correspond à une référence enregistrée, mais ne vérifient pas que le code résout effectivement à l'emplacement attendu. Un attaquant peut donc rediriger l'opération de checkout vers du code malveillant tout en présentant un hash qui semble valide — le pin apparaît honoré, mais le code exécuté ne l'est pas.
AIR Security a produit des preuves de concept fonctionnelles contre les quatre agents dès mai 2026. L'exploitation ne requiert pas de privilèges particuliers sur la machine cible : le plugin hérite directement des droits du processus de l'agent, qui dispose généralement d'un accès en lecture/écriture au répertoire de travail, aux variables d'environnement et, dans de nombreux environnements d'entreprise, aux identifiants cloud configurés localement.
La chercheure principale d'AIR qualifie Plugin4Shell de « première vulnérabilité de supply chain native à l'écosystème des agents IA ». La comparaison avec Log4Shell de 2021 n'est pas anodine : comme cette dernière, Plugin4Shell exploite un mécanisme de confiance implicite présent dans de nombreux systèmes simultanément, par construction et non par négligence des utilisateurs.
Vecteur d'attaque : marketplace de confiance
Il est important de noter que la surface d'attaque ne se limite pas aux plugins installés imprudemment. Un attaquant qui compromet un plugin légitime dans un marketplace — ou qui crée un plugin qui passe la révision initiale avec un code inoffensif, puis fait évoluer le code en aval — peut atteindre toutes les installations de ce plugin. L'utilisateur final n'a pris aucun risque apparent : il a installé un plugin audité, l'a épinglé à une version vérifiée, et respecté les bonnes pratiques documentées.
Périmètre de l'exposition : qui est réellement concerné ?
Toute équipe utilisant au moins un des quatre agents avec des plugins installés est potentiellement exposée — tant que l'agent n'est pas patché à la version corrigée. La portée est très large : selon les données publiquement disponibles, GitHub Copilot est utilisé par près de 90 % des entreprises du Fortune 500.
Le niveau de risque dépend de plusieurs facteurs :
- Plugins installés vs. aucun plugin : un agent sans plugin n'est pas exposé par Plugin4Shell. La faille ne concerne que les environnements avec au moins un plugin actif.
- Permissions de l'agent : un agent avec accès aux secrets cloud (AWS credentials, tokens GitHub, clés SSH) représente une surface d'attaque bien plus critique qu'un agent en sandbox restreinte.
- Environnement d'exécution : les environnements CI/CD où les agents tournent avec des identifiants de déploiement sont particulièrement sensibles. Une exécution réussie de code arbitraire dans un pipeline de livraison peut compromettre une chaîne d'approvisionnement logicielle entière.
- Éditeur et version : Claude Code ≥ 2.1.179 et Codex ≥ 0.146.0 sont patchés. Copilot et toutes les versions de Gemini CLI restent exposés.
Il n'y a, à la date du 19 septembre 2026, aucun signalement d'exploitation réelle dans la nature. La divulgation a été coordonnée et responsable. Cela réduit mais n'élimine pas le risque : la faille est maintenant publiquement documentée et des acteurs malveillants disposent de toutes les informations nécessaires pour construire leurs propres exploits.
Ce type de vecteur s'inscrit dans une tendance documentée sur laquelle Genee travaille depuis plusieurs mois — notamment dans notre analyse sur les vulnérabilités des serveurs MCP et plugins IA et sur la gouvernance de sécurité des agents en entreprise.
État des correctifs au 19 septembre 2026
Les quatre éditeurs concernés ont adopté des postures très différentes :
Anthropic — Claude Code v2.1.179 : patché
Anthropic a publié le correctif dans la version 2.1.179 de Claude Code. La mise à jour est disponible via les canaux habituels (npm, mise à jour automatique selon configuration). La correction porte sur la vérification de la résolution effective du code lors du checkout, pas seulement sur la comparaison de l'empreinte SHA. Il est recommandé de forcer la mise à jour même si la mise à jour automatique est activée, puis de vérifier la version installée avec claude --version.
OpenAI — Codex v0.146.0 : patché
OpenAI a publié le correctif dans la version 0.146.0 de Codex. La démarche de correction est similaire à celle d'Anthropic. Les équipes utilisant Codex en CI/CD doivent s'assurer que la version épinglée dans leurs pipelines est bien mise à jour.
Microsoft — GitHub Copilot : non patché à ce jour
À la date du 19 septembre 2026, Microsoft n'a pas publié de correctif pour GitHub Copilot. La société a reconnu la vulnérabilité sans communiquer de calendrier de correction précis. Les équipes utilisant Copilot avec des plugins sont donc toujours exposées. La recommandation temporaire la plus prudente est de désactiver l'ensemble des plugins Copilot jusqu'à publication d'un patch, particulièrement dans les environnements avec accès à des secrets ou des systèmes de production.
Google — Gemini CLI : déprécié sans correctif
Google a fait le choix de déprécier Gemini CLI plutôt que de le corriger, invitant les utilisateurs à migrer vers son successeur Antigravity. Cette décision implique que toutes les installations existantes de Gemini CLI resteront exposées indéfiniment, quel que soit le niveau de mise à jour de l'outil. Une migration vers Antigravity est recommandée au plus tôt.
Risques concrets pour les équipes de développement
Plugin4Shell n'est pas une faille théorique. L'exploitation réussie donne à l'attaquant les mêmes droits que le processus de l'agent sur la machine concernée. Dans un environnement typique de développement d'entreprise, cela couvre :
- Le code source — accès en lecture et en écriture aux dépôts locaux clonés, y compris les branches non publiées.
- Les identifiants cloud — fichiers
~/.aws/credentials, tokens d'API, variables d'environnement contenant des secrets injectés par le CI/CD. - Les clés SSH — permettant l'accès latéral à d'autres systèmes dans le réseau de l'organisation.
- Les dépôts internes — via les configurations Git locales avec authentification persistante.
- Les pipelines de livraison — si l'agent tourne dans un contexte CI/CD, la compromission peut toucher les artefacts de build et les systèmes de déploiement en production.
Le scénario le plus préoccupant pour une PME ou une ETI est celui d'un développeur utilisant Copilot (non patché) avec un accès à un compte AWS de production et des clés SSH vers des serveurs internes — un profil très courant. Une exploitation réussie peut déboucher sur une exfiltration silencieuse de code propriétaire ou d'identifiants, sans aucune interaction de la part de l'utilisateur.
Ce vecteur rejoint d'autres risques documentés sur les sessions d'agents IA, notamment les attaques par infostealer ciblant les sessions Claude. La différence fondamentale est que Plugin4Shell s'attaque à l'écosystème de plugins lui-même, pas aux credentials d'authentification de l'utilisateur.
Actions immédiates à prendre
Voici les actions à prioriser par ordre d'urgence :
- Mettre à jour Claude Code vers la version ≥ 2.1.179 sur toutes les machines de développement et tous les pipelines CI/CD qui l'utilisent. Vérifier la version avec
claude --version. - Mettre à jour Codex vers la version ≥ 0.146.0 si votre équipe l'utilise. Vérifier également les versions épinglées dans les configurations CI/CD.
- Désactiver tous les plugins Copilot immédiatement si vous utilisez GitHub Copilot en attendant un patch Microsoft. Si l'usage de Copilot est critique, envisager un mode sans plugin jusqu'à correction.
- Migrer de Gemini CLI vers Antigravity si votre équipe utilise encore Gemini CLI. Google ne publiera pas de correctif pour la version actuelle.
- Auditer les permissions des agents dans vos environnements. Les agents qui accèdent à des secrets cloud ou à des systèmes de production doivent être exécutés avec le principe du moindre privilège.
- Vérifier les pipelines CI/CD : si un agent de code tourne dans votre CI avec des identifiants de déploiement, vérifiez que la version patchée est effectivement utilisée dans chaque job.
Pour les équipes dont le contexte de l'automatisation métier repose sur des agents de code, une revue de l'architecture de sécurité est conseillée : segmentation des permissions, rotation des secrets, et journalisation des actions des agents. Nous sommes disponibles pour un audit de votre posture de sécurité sur ce point — contactez-nous.
FAQ — Plugin4Shell : faille RCE zéro-clic dans les quatre grands agents de code — deux correctifs disponibles, deux postures divergentes
Est-ce que Plugin4Shell a déjà été exploitée dans la nature ?
À la date du 19 septembre 2026, AIR Security et les éditeurs concernés n'ont signalé aucune exploitation avérée dans la nature. La divulgation a été responsable et coordonnée. Cela ne signifie pas que le risque est nul : la faille est désormais publique et documentée, ce qui facilite l'élaboration d'exploits par des acteurs malveillants.
Suis-je exposé si je n'ai aucun plugin installé dans mon agent de code ?
Non. Plugin4Shell n'affecte que les agents sur lesquels au moins un plugin est installé et actif. Un agent fonctionnant sans plugin n'est pas vulnérable à cette faille spécifique.
Que faire si je ne peux pas immédiatement mettre à jour Claude Code ou Codex ?
La mesure de mitigation la plus efficace est de désactiver temporairement tous les plugins dans l'agent concerné. Un agent sans plugin actif n'est pas exposé au vecteur Plugin4Shell, même s'il tourne sur une version vulnérable.
GitHub Copilot va-t-il recevoir un correctif et à quelle échéance ?
À la date du 19 septembre 2026, Microsoft n'a pas communiqué de calendrier de correction précis. La recommandation actuelle est de désactiver les plugins Copilot dans l'attente d'un patch officiel. Surveillez les annonces de sécurité Microsoft.
Gemini CLI peut-il être sécurisé sans migrer vers Antigravity ?
Non. Google a décidé de déprécier Gemini CLI sans publier de correctif. Il n'existe aucune version corrigée de Gemini CLI. La seule option de mitigation permanente est la migration vers Antigravity, le successeur désigné par Google.
Pourquoi cette faille est-elle appelée Plugin4Shell ?
Le nom est une référence délibérée à Log4Shell (2021), la célèbre faille dans la bibliothèque Log4j qui avait exposé des millions de systèmes simultanément via un mécanisme de confiance implicite. AIR Security a choisi ce nom pour souligner la similarité structurelle : comme Log4Shell, Plugin4Shell touche plusieurs systèmes par construction et non par négligence individuelle des utilisateurs.