Apa yang terjadi
Microsoft menerbitkan CVE-2026-103572 (2026-10-13) sebagai cacat pengendalian pembuatan kode yang tidak tepat di Visual Studio Tools for Applications dan SSMS. Liputan security digest tertanggal 2026-10-18 mendeskripsikan rantai eksploitasi dunia nyata sebagai prompt injection tidak langsung ditambah keanehan validasi jalur yang menghasilkan eksekusi kode arbitrer. CVSS 8.8 TINGGI, CWE-94, SSVC exploitation=none / technicalImpact=total.
Mengapa penting
Ini adalah jalur prompt-injection-ke-RCE di dalam alat pengembang berbantuan AI arus utama. Konten yang tidak tepercaya yang mencapai asisten pengkodean dapat ditingkatkan menjadi eksekusi kode di mesin pengembang atau build — mesin yang sama yang menyimpan kredensial cloud, VCS, dan npm yang sering digunakan agen pengkodean AI.
Vektor serangan
Pengendalian pembuatan kode yang tidak tepat ('code injection', CWE-94) di Visual Studio Tools for Applications dan SQL Server Management Studio. Jalur kode yang dihasilkan mesin (Copilot/dibantu AI) atau input AI yang di-injeksi secara tidak langsung dikombinasikan dengan keanehan validasi jalur menyebabkan eksekusi kode arbitrer melalui jaringan (CVSS 8.8, TINGGI, UI:R, AV:N).
Sistem yang terdampak
Microsoft Visual Studio 2022 versi 17.14 (< 17.14.42); Microsoft Visual Studio 2026 versi 18.10 (< 18.10.4)
Mitigasi
Terapkan pembaruan Microsoft Oktober 2026 (VS 2022 >= 17.14.42, VS 2026 >= 18.10.4).