Microsoft Visual Studio Code: Remote Code Execution durch unsicheren Suchpfad

Zusammenfassung

Visual Studio Code enthält eine Schwachstelle, die als unsicherer Suchpfad (CWE-426) eingestuft ist und es einem nicht authentifizierten Angreifer aus dem Netzwerk erlaubt, Code auf dem betroffenen System auszuführen. Laut CVE-Eintrag muss der Benutzer mit der Anwendung interagieren (UI:R), zum Beispiel indem er eine präparierte Datei, einen Ordner oder einen Link öffnet. Der CNA von Microsoft führt die Schwachstelle als Remote Code Execution; der genaue Angriffsweg ist in einer Primärquelle nicht bestätigt.

Betroffen

• Microsoft Visual Studio Code ab 1.0.0 bis vor 1.145.3 (gemäss CVE-Eintrag)

Behoben in

• Behoben in Visual Studio Code 1.145.3 oder neuer (abgeleitet vom Ende des betroffenen Bereichs; die genaue behobene Version auf dem MSRC-Advisory oder in den VS-Code-Release-Notes bestätigen)

Umgehung

• Kein Workaround des Herstellers gefunden.
• Bis das Update auf allen Endgeräten bestätigt ist, VS Code über den üblichen Kanal oder das Verteilungswerkzeug für Unternehmen aktualisieren.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
• Öffentlicher Proof of Concept: keiner gefunden.
• Status im CISA-KEV-Katalog: für diese CVE nicht bestätigt.

Unsere Empfehlung

• Alle Arbeitsstationen mit Visual Studio Code erfassen, insbesondere Entwickler- und Administrationsgeräte.
• VS Code auf 1.145.3 oder neuer aktualisieren und die installierte Version auf jedem Endgerät prüfen.
• Im MSRC-Advisory den Abschnitt zur Ausnutzbarkeit und die exakte behobene Version prüfen.
• Benutzer anweisen, keine unbekannten Dateien, Ordner oder Links in VS Code zu öffnen, und ungewöhnliche Prozessaktivitäten des Editors überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC Security Update Guide: CVE-2026-70094 msrc.microsoft.com
• VS Code 1.145 release notes code.visualstudio.com
• BleepingComputer: Microsoft November 2026 Patch Tuesday www.bleepingcomputer.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:01.