Microsoft Visual Studio Code: Remote Code Execution durch Command Injection
Zusammenfassung
Eine Command-Injection-Schwachstelle (CWE-77) in Microsoft Visual Studio Code erlaubt einem nicht authentifizierten Angreifer, über das Netzwerk Code auszuführen. Der CVSS-Vektor setzt eine Benutzerinteraktion voraus, weshalb ein Angreifer am ehesten eine Entwicklerin oder einen Entwickler dazu bringen muss, manipulierte Inhalte wie eine Datei, ein Repository oder ein Projekt zu öffnen. Die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit werden als hoch eingestuft, weshalb ein erfolgreicher Angriff den Arbeitsplatzrechner und die darauf gespeicherten Zugangsdaten gefährden könnte.
Betroffen
- Microsoft Visual Studio Code 1.0.0 bis vor 1.141.1 (Bereich aus Angaben Dritter; auf MSRC zu bestätigen)
Behoben in
- Version 1.141.1 (laut Angaben Dritter; auf MSRC zu bestätigen)
- Neuere stabile Versionen, wie 1.144, enthalten ebenfalls spätere Korrekturen
Umgehung
- Es ist keine CVE-spezifische Massnahme oder Umgehungslösung dokumentiert.
- Workspace Trust einschränken und keine nicht vertrauenswürdigen Repositories oder Projektdateien öffnen, bis gepatcht wurde.
- Microsoft empfiehlt laut Sekundärberichten, die Sandbox-Einstellungen zu prüfen, um den Zugriff von Agenten auf Dateien und Netzwerke einzuschränken (eine Sandbox ist keine Sicherheitsgrenze).
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht im KEV-Katalog als aktiv ausgenutzt gelistet. EPSS 0.007.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Visual Studio Code auf allen Entwickler- und IT-Arbeitsplätzen auf die neueste stabile Version aktualisieren, nicht nur auf 1.141.1.
- Die installierte Version auf verwalteten Geräten prüfen und die Fixversion im MSRC-Advisory bestätigen.
- Entwickler-Arbeitsplätze priorisieren, da sie das wahrscheinlichste Ziel sind.
- Bis zur Aktualisierung keine nicht vertrauenswürdigen Repositories oder Dateien öffnen.
- Auf öffentliche technische Details oder Berichte über Ausnutzung achten.
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft MSRC Security Update Guide msrc.microsoft.com
- NVD record via Vulners vulners.com
- VS Code 1.144 release notes code.visualstudio.com
- Tenable plugin 366207 www.tenable.com
- Strix CVE details www.strix.ai
- Cystack vulnerability database cystack.net
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 19:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.