A Microsoft anunciou uma nova medida de segurança para o Visual Studio Code (VS Code), que agora introduz um atraso de duas horas nas atualizações automáticas de extensões. Essa mudança visa reduzir ameaças à cadeia de suprimentos de software. Segundo a empresa, ao habilitar as atualizações automáticas, as novas versões das extensões serão atualizadas duas horas após a publicação, oferecendo uma camada adicional de proteção contra lançamentos problemáticos ou potencialmente comprometidos.
A funcionalidade está disponível a partir da versão 1.123 do VS Code. Os usuários ainda podem optar por atualizar qualquer extensão imediatamente através do botão “Atualizar”. Quando houver atualizações pendentes, o motivo da não atualização imediata será exibido na visualização de detalhes, juntamente com a previsão de quando a atualização automática ocorrerá.
O atraso de duas horas não se aplica a extensões de editores confiáveis, como Microsoft, GitHub e OpenAI, que continuarão a ser atualizadas imediatamente. Essa iniciativa surge pouco após a RubyGems introduzir um recurso semelhante no Bundler 4.0.13, que permite atrasar a instalação de novas versões de gemas publicadas para mitigar riscos de segurança.
Nos últimos anos, houve um aumento significativo em incidentes de segurança na cadeia de suprimentos de software, afetando diversos ecossistemas e comprometendo sistemas de desenvolvedores. Medidas semelhantes foram adotadas por outras ferramentas de gerenciamento de pacotes, como Bun, pnpm, npm e Yarn, que introduziram controles de instalação baseados em tempo para minimizar a exposição a versões maliciosas recém-publicadas.
Fonte:https://thehackernews.com/2026/06/vs-code-adds-2-hour-extension-auto.html
