注册

微软修复 Visual Studio Copilot 与 SSMS 远程代码执…

工具AI 评分 82/100Johann Rehberger / Embrace The Red（RSS）待复核
AI 聚合

本条为 AI 依据下方公开信源自动整理生成的摘要，不构成转载，可能存在偏差，请以原文为准。整理者：贝果科技 AI 资讯助手。

本条选题由第三方线索发现；线索方提供的摘要未被采用，本页内容依据下方信源整理。线索来源：AIHOT

微软发布补丁，修复 Visual Studio Copilot 中一个被归类为 Important 级别的远程代码执行漏洞。该漏洞源于路径验证绕过，允许 Copilot 在 Visual Studio 或 SQL Server Management Studio 中写入自身设置与配置文件，从而突破限制并执行任意命令。漏洞位于共享的 Microsoft.VisualStudio.Copilot.Core.dll 中，旧版本包括 Visual Studio 2022 也受影响。报告者还演示了第三方可通过间接提示注入实现远程命令执行。

全文梳理

AI 摘要依据下方信源原文自动整理，非原文转载

漏洞影响范围

该漏洞影响 Visual Studio 和 SQL Server Management Studio（SSMS）。SSMS 基于与 Visual Studio 相同的代码和外壳构建，因此许多 IDE 漏洞会同时波及两者。漏洞核心位于共享的 Microsoft.VisualStudio.Copilot.Core.dll 中，旧版本如 Visual Studio 2022 同样受影响。当前 Visual Studio 产品已更新至 Visual Studio 2026，并集成了 GitHub Copilot。

路径验证绕过原理

根本原因在于 Windows 文件路径处理的一个特性：文件名末尾的句点会被 Win32 层忽略，但 NTFS 文件系统仍会区分名称差异。因此 settings.json 和 settings.json. 通常指向同一文件。Copilot 的路径验证代码未能正确处理这一情况，导致 Copilot 可以绕过限制，写入自身的设置和配置文件，从而突破沙箱约束并执行任意命令。

利用方式与修复

报告者向微软安全响应中心（MSRC）提交的报告显示，第三方可以通过间接提示注入利用该漏洞，实现远程命令执行。微软已发布补丁修复该问题，建议用户尽快更新 Visual Studio 和 SSMS 至最新版本。

为什么值得看

使用 Visual Studio 或 SSMS 的开发者需尽快更新，该漏洞可被间接提示注入利用实现远程命令执行。

Microsoft

信源1 家

  1. [1]Johann Rehberger / Embrace The Red（RSS）线索来自 AIHOTVisual Studio Copilot 与 SSMS 远程代码执行漏洞（CVE-2026-103572）技术分析

关键事实

  • 微软发布了针对 Visual Studio Copilot 中一个远程代码执行漏洞的补丁，该漏洞被归类为 Important 级别。[1]

  • 漏洞允许 Copilot 绕过路径验证检查，写入自身设置和配置文件，进而实现任意命令执行。[1]

  • 漏洞存在于共享的 Microsoft.VisualStudio.Copilot.Core.dll 中，同时影响 Visual Studio 和 SQL Server Management Studio。[1]

  • 旧版本包括 Visual Studio 2022 也受该漏洞影响。[1]

  • 报告者演示了第三方可通过间接提示注入利用该漏洞实现远程命令执行。[1]

相关 · 工具

小米开源AI桌搭硬件HachimoDock，自制成本约150元

11月2日 周一·AI 78

TypeSafe AI与Treg开源找人工具，比Clay便宜85%

11月1日 周日·AI 78

DeepSeek开源Super-agent架构，AI可自主发现Bug并提交PR

10月31日 周六·AI 82

OpenRouter 发布教程：用 Agent SDK 搭建常驻 AI Age…

10月31日 周六·AI 62

本页内容由 AI 自动聚合公开信源生成，仅供了解行业动态参考，不构成任何投资或决策建议。如需引用请以原文出处为准。

去论坛讨论