무슨 일이 있었나
VS Code 1.145.3 이전 버전에서 McpElicitationService는 MCP 유도/생성 요청에 사용 가능한 채팅 세션이 없을 때 작업벤치 알림으로 폴백합니다. 서버 제어 메시지 문자열이 연결된 마크다운으로 렌더링되므로, 악성 MCP 서버는 명령: URI(예: workbench.action.terminal.sendSequence)를 가리키는 링크로 메시지를 구성하거나, 렌더러의 사전 파싱된 링크 노드 구조를 모방한 객체로 구성할 수 있습니다; 단일 클릭으로 사용자 권한으로 작업벤치 명령이 실행됩니다. Microsoft는 CVE-2026-120779(CWE-94, CVSS 3.1 9.6 치명적; Microsoft 자체 등급 '중요')를 할당하고, 유도 메시지를 리터럴 텍스트로 렌더링하여 2026-11-10에 출시된 VS Code 1.145.3에서 수정했습니다.
왜 중요한가
이는 직접적인 에이전틱/MCP 공격 클래스입니다: 개발자가 IDE에 연결하는 원격 MCP 서버가 렌더링된 텍스트 경계를 넘어 개발자 환경의 로컬 명령 실행으로 침투할 수 있습니다. VS Code의 보편성(개발자 사용률 70% 이상)과 원격 MCP 서버의 급속한 성장을 고려할 때, 개발자를 속여 악성 서버를 연결하게 하는 공격자는 해당 사용자의 권한으로 코드 실행을 달성할 수 있습니다.
공격 경로
악성 MCP 서버는 명령: URI(또는 사전 파싱된 링크 노드를 모방한 객체)를 포함한 조작된 메시지로 유도/생성 요청을 보냅니다; 알림 링크를 렌더링하고 클릭하면 사용자 권한으로 작업벤치 명령이 실행됩니다.
영향받는 시스템
Microsoft Visual Studio Code < 1.145.3 (MCP 유도 / 알림 렌더러)
완화 방안
VS Code 1.145.3+로 업그레이드; MCP 서버를 신뢰할 수 없는 것으로 취급하고 연결 전에 검증하세요, 특히 권한이 있거나 원격 서버의 경우.