Mit dem monatlichen Patchday am 13. Oktober hat Microsoft eine Copilot-bezogene Lücke für Remotecodeausführung geschlossen, die unter der Kennung CVE-2026-103572 geführt wird. Betroffen sind Visual Studio (einschließlich 2026, 2022 und älterer Versionen) sowie SQL Server Management Studio (SSMS). Entdeckt hat sie der Sicherheitsforscher Johann Rehberger, der noch am selben Tag die technischen Details auf seinem Blog Embrace The Red veröffentlichte.
Beide Produkte nutzen eine gemeinsame Kernbibliothek, Microsoft.VisualStudio.Copilot.Core.dll. Genau dort sitzt die Schwachstelle, weshalb ein einziges Problem beide Produkte zugleich trifft.
Wie ein Punkt die Prüfung aushebelt
Copilot kann in der IDE Dateien für den Nutzer schreiben, doch Konfigurationen wie .mcp.json oder die Einstellungsdateien von Visual Studio gelten als geschützte Objekte, die es nicht anfassen darf. Das Problem liegt in der Art der Prüfung: Die Validierung vergleicht den rohen Zeichenstring.
Auf der Win32-Ebene von Windows gilt eine alte Regel: Punkte am Ende eines Dateinamens werden automatisch entfernt. Rehberger zitiert Microsofts eigene Dokumentation: „File and Folder names that end with the ASCII Period (0x2E) character will also be saved without this character.“ Bei der Prüfung ist settings.json. daher nicht derselbe String wie settings.json, und die Kontrolle lässt den Zugriff durch; beim tatsächlichen Schreiben wird der abschließende Punkt verschluckt, und geschrieben wird genau die geschützte Datei.
Die Angriffskette sieht in groben Zügen so aus: Der Angreifer beeinflusst Copilot zunächst per indirekter Prompt-Injection, etwa indem die Antwort eines MCP-Servers versteckte Anweisungen enthält. Copilot folgt ihnen und schreibt die gewünschten Inhalte in Konfigurationen wie .mcp.json; beim Einlesen der Konfiguration startet die IDE dann den bösartigen Befehl. In Visual Studio kann auch das Ändern der Pfadeinstellungen bestimmter Werkzeuge eine Befehlsausführung auslösen.
Rehberger meldete außerdem einige Nebenbefunde: Mit ..\ ließ sich per Pfadtraversierung auf eingeschränkte Dateien zugreifen, manche Dateien legen Installationskennungen offen, und das Modell MAI-Code-1-Flash widersteht indirekter Prompt-Injection nur schwach. Nach seiner Analyse besteht Microsofts Korrektur darin, einen Aufruf von GetFullPath einzufügen, der den Pfad zuerst normalisiert, nachgestellte Punkte entfernt und .. auflöst, bevor verglichen wird.
Zum zweiten Mal dieselbe Art von Lücke
Es ist nicht das erste Mal, dass Rehberger bei Konfigurationsdateien ansetzt. Im August 2025 legte er eine Lücke für Remotecodeausführung in GitHub Copilot unter VS Code offen (CVE-2025-53773): Per Prompt-Injection schrieb Copilot die settings.json des Workspaces um und aktivierte den Schalter für die automatische Ausführung von Werkzeugen ohne Bestätigung, danach ließen sich direkt Befehle ausführen. Auch damals kam die Korrektur mit dem Microsoft-Patchday.
Nebeneinander betrachtet folgen beide Fälle demselben Muster: Der Agent darf Dateien schreiben, Konfigurationsdateien bestimmen, was Agent und IDE tun können, und sobald der Agent in die Konfiguration schreiben kann, erweitert er seine eigenen Rechte. Die Lehre von 2025 war eine Schutzliste für Konfigurationsdateien, und ausgerechnet diese Schicht wurde nun umgangen. Rehbergers Fazit im Beitrag lautet:
„Security controls around agents must hold even when the agent itself is compromised or misaligned.“
Sicherheitskontrollen rund um Agenten müssen auch dann greifen, wenn der Agent selbst kompromittiert ist oder sich fehlausgerichtet verhält.
Was Nutzer jetzt tun sollten
Zum zeitlichen Ablauf: Rehberger reichte seinen Bericht am 4. August ein, ergänzte vom 4. bis 7. August die Auswirkungen auf Visual Studio und Details zur Ausnutzung und hakte am 30. August nach. Microsoft bestätigte am 16. September, teilte am 11. Oktober mit, dass die Prämie 0 betrage, und veröffentlichte die Korrektur am 13. Oktober. Warum Microsoft keine Prämie zahlt, erklären die öffentlich zugänglichen Unterlagen nicht.
Für Teams, die Visual Studio und SSMS einsetzen, gibt es nur eine Maßnahme: den aktuellen Monatspatch so bald wie möglich einspielen. Umgebungen, in denen Copilot mit MCP-Servern von Drittanbietern verbunden ist, sind stärker gefährdet, denn der Einstiegspunkt der Prompt-Injection sind genau diese externen Daten.
Quellen: Technikblog Embrace The Red, CocoLoop, Microsoft Security Update Guide; CVE-Kennung, CVSS-Wert und Veröffentlichungsdaten richten sich nach dem Blog des Forschers und der Microsoft-Mitteilung.