Visual Studio Code: Remote Code Execution durch fehlende Autorisierung
Zusammenfassung
Fehlende Autorisierung in Visual Studio Code erlaubt es einem nicht autorisierten Angreifer, über ein Netzwerk Code auszuführen. Microsoft bewertet die Schwachstelle mit CVSS 8.8. Ein Angriff erfordert, dass ein Benutzer einen präparierten Workspace öffnet, daher ist das Risiko vor allem für Entwickler und IT-Mitarbeitende relevant, die Code von Dritten öffnen. Erfolgreiche Codeausführung läuft mit den Rechten des angemeldeten Benutzers und kann Quellcode, Zugangsdaten und Token offenlegen.
Betroffen
- Microsoft Visual Studio Code von 1.0.0 bis vor 1.141.1
Behoben in
- Visual Studio Code 1.141.1 oder neuer (veröffentlicht am 13. Oktober 2026)
- Die korrekte Fixed-Version in der MSRC-Produkttabelle bestätigen
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden.
- Workspace Trust aktiviert lassen und nicht als einzige Kontrolle verlassen
- Bis zum Patch nur Repositories und Projektdateien aus vertrauenswürdigen Quellen öffnen
Ausnutzung
- Zum Zeitpunkt der Analyse ist keine Ausnutzung bekannt
- Kein öffentlicher Proof of Concept gefunden
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
Unsere Empfehlung
- Alle Visual Studio Code Installationen, einschliesslich Installationen pro Benutzer, auf 1.141.1 oder neuer aktualisieren
- Workspace Trust aktiviert lassen und das Öffnen nicht vertrauenswürdiger Repositories vermeiden
- MSRC-Advisory und NVD auf Aktualisierungen zur Fixed-Version und Schweregrad prüfen
Angaben von Microsoft (Patch Tuesday Oktober 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Microsoft Security Update Guide msrc.microsoft.com
- VulDB entry vuldb.com
- CyStack vulnerability database cystack.net
- Offseq threat radar radar.offseq.com
- Windows Forum news on CVE-2026-70098 windowsforum.com
- Tenable plugin 366207 www.tenable.com
- Strix CVE page www.strix.ai
- Vulners CVE record vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 17:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.