Microsoft hat am 13. Oktober die Schwachstelle CVE-2026-103572 in Copilot-Komponenten von Visual Studio und SQL Server Management Studio (SSMS) geschlossen. Microsoft stuft sie als „Important“ mit einem CVSS-Wert von 8,8 ein. Der Sicherheitsforscher Johann Rehberger hatte sie im August gemeldet und demonstrierte, dass eine indirekte Prompt Injection zu unerwünschter Codeausführung führen konnte.
Der Befund betrifft die Rechte eines Coding-Agenten innerhalb seiner Entwicklungsumgebung. Copilot darf Dateien bearbeiten, soll bestimmte eigene Konfigurationsdateien aber nicht ohne zusätzliche Freigabe verändern. Diese Trennung hielt bei der geprüften Pfadvalidierung nicht zuverlässig.
Die Berechtigungsprüfung verwendete einen anderen Dateinamen als das Dateisystem
Rehberger fand eine Abweichung zwischen dem Namen, den die Schutzfunktion prüfte, und dem Namen, den Windows beim späteren Dateizugriff tatsächlich verwendete. Unterschiedliche Schreibweisen konnten auf dieselbe Datei verweisen. Die Anwendung verglich jedoch zunächst Zeichenfolgen, ohne den Pfad vollständig in die Form zu bringen, die beim tatsächlichen Zugriff gilt.
Dadurch konnte der Agent laut Forschungsbericht Einstellungen ändern, die für ihn ausdrücklich geschützt sein sollten. Besonders problematisch sind Konfigurationen, die festlegen, welche externen Werkzeuge eine IDE startet. Wird diese Kontrollschicht umgangen, können reguläre Funktionen der Entwicklungsumgebung unerwünschte Programme ausführen.
Der Fehler lag laut Rehberger in einer gemeinsamen Copilot-Komponente von Visual Studio und SSMS. Es handelt sich damit um einen Fehler der umgebenden Software und ihrer Autorisierungslogik, nicht um einen nachgewiesenen Defekt in den Gewichten eines Sprachmodells.
Ein manipulierter Agent darf keine eigenen Rechte erweitern können
Die von Rehberger gezeigte Angriffskette setzte voraus, dass Copilot zuvor durch nicht vertrauenswürdige Inhalte zu einer unerwünschten Aktion veranlasst wird. Microsoft beschreibt die Schwachstelle als Remote-Code-Execution-Risiko mit erforderlicher Nutzerinteraktion. Eine Ausnutzung in realen Angriffen ist öffentlich nicht belegt.
Rehberger analysierte auch die Korrektur: Nach seiner Untersuchung normalisiert der Patch den Dateipfad vor der Entscheidung über geschützte Dateien. Microsoft veröffentlichte Sicherheitsupdates für Visual Studio 2022 und Visual Studio 2026. Für SSMS nennt der öffentlich zugängliche Forschungsbericht keine eindeutig verifizierte korrigierte Buildnummer; Betreiber sollten die offiziellen Produktupdates prüfen.
Die Schutzregel muss für das tatsächliche Ziel gelten
Agentenberechtigungen lassen sich nicht sicher mit einer Liste verbotener Dateinamen erzwingen, wenn Dateisystem und Prüfcode denselben Pfad unterschiedlich interpretieren. Eine wirksame Kontrolle muss das tatsächlich adressierte Objekt erkennen und darf sicherheitsrelevante Konfiguration nicht durch gewöhnliche Agenten-Schreibrechte verändern lassen.
Für Coding-Agenten folgt daraus eine konkrete Testfrage: Kann ein Agent, der mit fremden Projektdateien oder Tool-Ausgaben arbeitet, Einstellungen verändern, die später die Ausführung weiterer Werkzeuge steuern? Eine Bestätigung durch das Modell ersetzt diese Prüfung nicht.
Quellen: Johann Rehberger, „Visual Studio Copilot and SSMS Remote Code Execution“, 13. Oktober 2026, https://embracethered.com/blog/posts/2026/visual-studio-copilot-remote-code-execution/ ; Microsoft Security Response Center, CVE-2026-103572, https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-103572 ; ThreatWire, „Visual Studio and SSMS Copilot flaw“, 14. Oktober 2026, https://www.threatwire.tech/research/visual-studio-and-ssms-copilot-flaw-cve-2026-103572-allows-code-execution