Microsoft Visual Studio Code: Remote Code Execution
Zusammenfassung
Visual Studio Code enthält eine Command-Injection-Schwachstelle (CWE-77), die es einem Angreifer erlaubt, Code auf dem Rechner auszuführen, auf dem die Software läuft. Laut den Research-Notizen muss ein Benutzer dafür einen präparierten Workspace oder Ordner öffnen, und die Schwachstelle kann zudem Schutzmechanismen von Workspace Trust umgehen. Der CVSS-3.1-Basiswert beträgt 8.6, und das Problem ist lokal und nicht direkt aus dem Internet erreichbar.
Betroffen
- Microsoft Visual Studio Code ab 1.0.0 bis vor 1.145.3
Behoben in
- Microsoft Visual Studio Code 1.145.3 oder neuer
Umgehung
- Nach dem Einspielen des Patches ist kein Workaround nötig.
- Bis die Systeme aktualisiert sind, keine nicht vertrauenswürdigen Repositories oder Workspaces öffnen.
- Workspace Trust aktiviert lassen und Workspaces aus unbekannten Quellen nicht vertrauen. Darauf nicht als einzige Schutzmassnahme vertrauen.
Ausnutzung
- CISA-SSVC-Bewertung im CVE-Eintrag: Exploitation none, nicht automatisierbar.
- Microsoft-Temporalvektor E:U (unbewiesen); kein öffentlich verfügbarer Exploit-Code gefunden.
- Tenable gibt laut Microsofts Exploitability Index Exploitation More Likely an.
- Strix führt KEV als No; diese Quelle ist sekundär und sollte im CISA-Katalog überprüft werden.
Unsere Empfehlung
- Alle Installationen von Visual Studio Code, einschliesslich portabler Kopien, auf 1.145.3 oder neuer aktualisieren.
- Entwickler-Arbeitsplätze mit erhöhten Rechten oder Zugriff auf Quellcode, Geheimnisse oder CI/CD-Zugangsdaten priorisieren.
- Workspace Trust wo möglich über verwaltete Einstellungen erzwingen.
- Keine Repositories oder Dateien aus unbekannten Quellen öffnen.
- Auf ungewöhnliche Prozesse achten, die von Visual Studio Code gestartet werden.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide msrc.microsoft.com
- CVE Record CVE-2026-121662 www.cve.org
- VS Code 1.145 release notes code.visualstudio.com
- VS Code Workspace Trust documentation code.visualstudio.com
- Tenable: Microsoft November 2026 Patch Tuesday www.tenable.com
- Strix CVE-2026-121662 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:11.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.