Dans son correctif mensuel du 13 octobre, Microsoft a colmaté une faille d'exécution de code à distance liée à Copilot, référencée CVE-2026-103572, qui touche Visual Studio (y compris 2026, 2022 et les versions plus anciennes) ainsi que SQL Server Management Studio (SSMS). Elle a été découverte par le chercheur en sécurité Johann Rehberger, qui en a publié le jour même les détails techniques sur son blog personnel, Embrace The Red.
Les deux produits partagent une bibliothèque centrale, Microsoft.VisualStudio.Copilot.Core.dll. C'est là que se trouve la faille, si bien qu'un seul défaut atteint les deux produits à la fois.
Comment un simple point déjoue la vérification
Dans l'IDE, Copilot peut écrire des fichiers à la place de l'utilisateur, mais des configurations comme .mcp.json ou les fichiers de paramètres de Visual Studio sont classées parmi les objets protégés auxquels il ne doit pas toucher. Le problème tient à la méthode de contrôle : la logique de validation compare la chaîne brute.
La couche Win32 de Windows applique une vieille règle : les points en fin de nom de fichier sont supprimés automatiquement. Rehberger cite la documentation de Microsoft elle-même : « File and Folder names that end with the ASCII Period (0x2E) character will also be saved without this character. » Au moment du contrôle, settings.json. n'est donc pas la même chaîne que settings.json et la vérification laisse passer ; lors de l'écriture effective, le point final est avalé et c'est bien le fichier protégé qui est écrit.
La chaîne d'attaque se présente en gros ainsi : l'attaquant influence d'abord Copilot par une injection de prompt indirecte, par exemple en faisant renvoyer par un serveur MCP des données qui glissent des instructions ; Copilot les suit et écrit dans des configurations comme .mcp.json le contenu voulu par l'attaquant ; lorsque l'IDE lit la configuration, il lance la commande malveillante. Dans Visual Studio, modifier le paramètre de chemin de certains outils peut aussi déclencher l'exécution de commandes.
Rehberger a en outre signalé plusieurs autres problèmes : un parcours de chemin avec ..\ permettait de lire des fichiers restreints, certains fichiers divulguent des identifiants d'installation, et le modèle MAI-Code-1-Flash résiste mal à l'injection de prompt indirecte. D'après son analyse, Microsoft a corrigé en ajoutant un appel à GetFullPath, qui normalise d'abord le chemin, supprime le point final et résout les .. avant de comparer.
Deuxième faille du même genre
Ce n'est pas la première fois que Rehberger s'attaque aux fichiers de configuration. En août 2025, il avait divulgué une faille d'exécution de code à distance dans GitHub Copilot sous VS Code (CVE-2025-53773) : l'injection de prompt poussait Copilot à réécrire le settings.json de l'espace de travail et à activer l'option d'exécution automatique des outils sans confirmation, après quoi des commandes pouvaient être lancées directement. Celle-là aussi avait été corrigée avec le Patch Tuesday de Microsoft.
Mis côte à côte, les deux cas suivent le même schéma : l'agent est autorisé à écrire des fichiers, les fichiers de configuration déterminent ce que l'agent et l'IDE peuvent faire, et dès que l'agent parvient à écrire dans la configuration, il élargit lui-même ses propres droits. La leçon de 2025 avait été d'ajouter une liste de protection pour les fichiers de configuration, et c'est précisément cette couche qui vient d'être contournée. La conclusion de Rehberger dans son article :
« Security controls around agents must hold even when the agent itself is compromised or misaligned. »
Les contrôles de sécurité autour des agents doivent tenir même lorsque l'agent lui-même est compromis ou désaligné.
Ce que doivent faire les utilisateurs
Côté calendrier : Rehberger a soumis son rapport le 4 août, complété du 4 au 7 août l'impact sur Visual Studio et les détails d'exploitation, puis relancé le 30 août ; Microsoft a confirmé le 16 septembre, a indiqué le 11 octobre que la prime serait nulle, et a publié le correctif le 13 octobre. Les documents publics n'expliquent pas pourquoi Microsoft n'a versé aucune prime.
Pour les équipes qui utilisent Visual Studio et SSMS, une seule mesure s'impose : installer au plus vite le correctif de ce mois. Les environnements où Copilot se connecte à des serveurs MCP tiers sont plus exposés, car le point d'entrée de l'injection de prompt, ce sont justement ces données externes.
Sources : blog technique Embrace The Red, CocoLoop, Microsoft Security Update Guide ; l'identifiant CVE, le score CVSS et les jalons de divulgation s'en remettent au blog du chercheur et à l'avis de Microsoft.