무슨 일이 있었나
Microsoft는 CVE-2026-103572 (2026-10-13)를 Visual Studio Tools for Applications 및 SSMS의 코드 생성 제어 부적절 결함으로 공개했습니다. 2026-10-18 날짜의 보안 다이제스트는 실제 익스플로잇 체인을 간접 프롬프트 인젝션과 경로 검증 결함을 결합한 임의 코드 실행으로 설명했습니다. CVSS 8.8 HIGH, CWE-94, SSVC 익스플로잇=none / 기술적 영향=total.
왜 중요한가
이것은 주류 AI 지원 개발자 도구 내부의 프롬프트 인젝션-대-RCE 경로입니다. 코딩 어시스턴트에 도달하는 신뢰할 수 없는 콘텐츠는 개발자 또는 빌드 머신에서 코드 실행으로 확대될 수 있습니다 — 이 머신은 AI 코딩 에이전트가 일반적으로 사용하는 클라우드, VCS, npm 자격 증명을 보유하고 있습니다.
공격 경로
Visual Studio Tools for Applications 및 SQL Server Management Studio에서 코드 생성 제어 부적절 ('코드 주입', CWE-94). 기계 생성(Copilot/AI 지원) 코드 경로 또는 간접 프롬프트 인젝션된 AI 입력이 경로 검증 결함과 결합되어 네트워크를 통한 임의 코드 실행을 초래합니다 (CVSS 8.8, HIGH, UI:R, AV:N).
영향받는 시스템
Microsoft Visual Studio 2022 버전 17.14 (< 17.14.42); Microsoft Visual Studio 2026 버전 18.10 (< 18.10.4)
완화 방안
2026년 10월 Microsoft 업데이트를 적용하세요 (VS 2022 >= 17.14.42, VS 2026 >= 18.10.4).