Microsoft Visual Studio Code: Remote Code Execution durch unzureichende Ausgabekodierung

Zusammenfassung

Microsoft Visual Studio Code enthält eine Schwachstelle bei der Kodierung bzw. Maskierung von Ausgaben (CWE-116). Gemäss dem CVE-Eintrag kann ein nicht autorisierter Angreifer über das Netzwerk Code ausführen. Der Angriff erfordert eine Benutzerinteraktion (CVSS UI:R), zum Beispiel das Öffnen von vom Angreifer beeinflussten Inhalten, und keine Authentifizierung. Sekundärquellen beschreiben speziell präparierte Inhalte im integrierten Terminal, was von Microsoft noch nicht bestätigt ist.

Betroffen

• Microsoft Visual Studio Code ab 1.0.0 bis vor 1.141.1 (gemäss CNA-Eintrag; genauen Bereich im MSRC-Advisory prüfen)

Behoben in

• Aktualisierung auf Visual Studio Code 1.141.1 oder neuer (Sekundärquelle; in der MSRC-Tabelle bestätigen)

Umgehung

• Keine Workaround-Massnahme dokumentiert.
• Bis zur Behebung: Entwicklern das Öffnen nicht vertrauenswürdiger Repositories und Inhalte untersagen und Workspace Trust aktiviert lassen (eigene Empfehlung, nicht aus einer Herstellerquelle).

Ausnutzung

• Nicht als ausgenutzt bekannt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof of Concept gefunden.
• EPSS 0.00557.

Unsere Empfehlung

• Arbeitsstationen von Entwicklern und Administratoren mit Visual Studio Code-Builds unterhalb 1.141.1 ermitteln und im nächsten Update-Zyklus aktualisieren (Priorität hoch, wo Entwickler im Einsatz sind).
• Bis zur Behebung das Öffnen nicht vertrauenswürdiger Repositories und Inhalte einschränken und Workspace Trust aktiviert lassen.
• MSRC-Advisory und NVD auf Änderungen des betroffenen Bereichs sowie auf den KEV-Status überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-102235 msrc.microsoft.com
• Tenable Nessus plugin 366207 www.tenable.com
• VulDB entry 417993 vuldb.com
• CyStack vulnerability database: Visual Studio Code cystack.net
• Vulners: MS:CVE-2026-102235 vulners.com
• Windows Forum: CVE-2026-102235 analysis (secondary) windowsforum.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:16.