Der Copilot in Visual Studio wurde durch einen einzigen Punkt am Ende eines Dateinamens an seiner eigenen Schutzlinie vorbeigeschleust. Am 13. Oktober 2026 veröffentlichte der Sicherheitsforscher Johann Rehberger die technischen Details zur Schwachstelle CVE-2026-103572, und Microsoft lieferte die Korrektur noch am selben Tag mit dem Oktober-Patchday aus. Die Lücke ist als Important für Remote Code Execution eingestuft, mit einem CVSS-Wert von 8.8, und betrifft sowohl Visual Studio als auch SQL Server Management Studio (SSMS).
Ein angehängter Punkt, geschrieben in Konfigurationsdateien, die geschützt sein sollten
Das Problem sitzt in der Pfadprüfung der von beiden Produkten genutzten Komponente Microsoft.VisualStudio.Copilot.Core.dll: Ein Punkt am Ende eines Dateinamens umgeht die Kontrolle und lässt Copilot in Einstellungs- und Konfigurationsdateien schreiben, die geschützt sein sollten, etwa MCP-Konfigurationen und Visual Studio Einstellungen, was wiederum die Ausführung beliebiger Befehle ermöglicht. Der Forscher demonstrierte auch einen zweiten Weg: Ein Dritter versteckt bösartige Anweisungen in Dateien oder externen Daten, die Copilot verarbeitet, und verleitet ihn per indirekter Prompt-Injektion zum Schreiben, ohne dass der Entwickler selbst aktiv etwas tun muss. Da SSMS dieselbe Shell und Codebasis wie Visual Studio nutzt, trifft derselbe Fehler auch das Werkzeug der Datenbankadministratoren. Betroffen sind Visual Studio 2022 Version 17.14 und Visual Studio 2026 Version 18.10, behoben in den Builds 17.14.42 beziehungsweise 18.10.4; Microsofts Korrektur normalisiert den Pfad vor der Prüfung und beseitigt Tricks wie angehängte Punkte im Voraus. Microsoft sagt, bislang sei keine Ausnutzung in freier Wildbahn bestätigt, und die Ausnutzung erfordere eine Interaktion des Nutzers mit Copilot. Der Forscher hatte das Problem bereits im August an Microsoft gemeldet.
Wer Visual Studio oder SSMS nutzt, aktualisiert zuerst
Die Reihenfolge ist klar. Erstens: Visual Studio und SSMS auf die oben genannten korrigierten Builds aktualisieren, in Unternehmensumgebungen zuerst die Rechner mit Copilot. Zweitens: Bis der Patch überall angekommen ist, Copilot nicht unbedacht Repositories unbekannter Herkunft, externe Dateien oder von MCP-Diensten zurückgegebene Inhalte verarbeiten lassen, schon gar nicht bei Vorgängen, die automatisch Konfiguration schreiben. Das Unangenehme an dieser Fehlerklasse ist, dass der Einstieg danach aussieht, als lasse man den Assistenten nur eine Datei lesen, während der Zielpunkt der Entwicklerrechner selbst ist, auf dem üblicherweise Quellcode, Cloud-Schlüssel und Veröffentlichungs-Zugangsdaten liegen.
Leitplanken dürfen nicht auf dem Wohlverhalten des Modells ruhen
Diese Schwachstelle ist eine konkrete Mahnung für Programmier-Agenten: Wenn ein Assistent Dateien schreiben, Konfiguration ändern, Werkzeuge einrichten und sogar Befehle ausführen darf, müssen die Sicherheitsprüfungen dort liegen, wo das Modell nicht hinkommt, und sie müssen unterstellen, dass das Modell selbst durch externe Inhalte in die Irre geführt werden kann. Eine so unscheinbare Prüfung wie die Pfadvalidierung ist genau die dünnste und am wenigsten verzichtbare Schicht zwischen einem Agenten und dem echten System. Microsoft hat die Punkt-Lücke diesmal mit Pfadnormalisierung geschlossen, doch Probleme dieser Art werden nicht verschwinden: Solange Agenten immer mehr lokale Werkzeuge anbinden, verdient jede Konfigurationsdatei und jedes ausführbare Programm, das sie erreichen können, eine erneute Prüfung nach demselben Maßstab.
