VSCode 知名插件被“投毒”！两款累计下载量近900万次的热门主题插件“Material Theme - Free”和“Material Theme Icons - Free”被曝含恶意代码。

网络安全研究员Amit Assaraf团队发现，本应为静态JSON文件的主题插件中，竟存在高度混淆的JavaScript代码（位于 release-notes.js 文件），可能通过2023年某次更新植入，意图窃取开发者敏感信息或劫持账户。

微软紧急下架插件并封禁开发者账号，同时强制卸载全球用户端已安装的插件，导致部分用户遭遇VS Code循环启动故障。

开发者Mattia Astorino辩称问题源于2016年遗留的过时Sanity.io依赖项，仅用于显示更新日志，并指责微软未提前沟通即全面封杀其名下13款插件（总安装量超1300万）。

微软承诺将在 GitHub 公开完整技术分析报告。目前建议开发者立即检查并卸载以下高危扩展：

◾equinusocio.moxer-theme
◾equinusocio.vsc-material-theme
◾equinusocio.vsc-material-theme-icons
◾equinusocio.vsc-community-material-theme
◾equinusocio.moxer-icons