Visual Studio ve SSMS'teki Copilot'ta RCE açığı: dosya adının sonundaki tek nokta prompt injection'ı komut çalıştırmaya çevirdi
Microsoft, Visual Studio ve SQL Server Management Studio'daki Copilot'un kendi MCP ve ayar dosyalarını değiştirebilmesine yol açan CVE-2026-103572'yi Ekim Patch Tuesday'de kapattı. Araştırmacı, açığın indirect prompt injection ile uzaktan komut çalıştırmaya dönüştürülebildiğini gösterdi.
Yapay zekâ destekli kodlama asistanlarının güvenliği yine gündemde. Microsoft, Visual Studio ve SQL Server Management Studio (SSMS) içindeki Copilot'u etkileyen CVE-2026-103572'yi 13 Ekim 2026 Patch Tuesday güncellemeleriyle kapattı. Microsoft açığı "Important" seviyesinde RCE olarak sınıflandırdı; açığı bulan araştırmacı Johann Rehberger (Embrace The Red) ise CVSS 8.8 puan veriyor.
Tek bir nokta yetti
Copilot'un kendi yapılandırma dosyalarını, örneğin .mcp.json'u, düzenlemesini engelleyen bir kontrol bulunuyordu. Araştırmacı, dosya adının sonuna nokta eklendiğinde (.mcp.json.) bu kontrolün atlatıldığını gösterdi. Windows, sondaki noktayı yok sayıp aynı dosyaya çözümlediği için Copilot korumalı dosyaya yazabiliyordu. Sorun ortak kullanılan Microsoft.VisualStudio.Copilot.Core.dll bileşeninde.
Saldırganın kontrol ettiği bir içerik, örneğin depodaki bir dosya ya da yorum, indirect prompt injection ile Copilot'a MCP yapılandırmasına yeni bir sunucu eklemesini söylediğinde, geliştiricinin makinesinde komut çalıştırmak mümkün hale geliyor.
Süreç
Araştırmacının paylaştığı zaman çizelgesine göre açık 4 Ağustos'ta MSRC'ye bildirildi, 16 Eylül'de doğrulandı ve 13 Ekim'de patch yayımlandı. Araştırmacı, bulgunun bounty kapsamı dışında sayıldığını ve ödül verilmediğini belirtti. Etkilenen kesin build numaraları açıklanmadı; araştırmacıya göre Visual Studio 2022 gibi eski sürümler de etkileniyor.
Ne yapılmalı?
- Visual Studio ve SSMS kurulumlarını Ekim 2026 güncellemelerine yükseltin.
- AI coding agent'ların yapılandırma dosyalarını (
.mcp.json, settings) değiştirmesine onaysız izin vermeyin; bu dosyaları değişiklik izlemeye alın. - Güvenilmeyen depoları agent modunda açmadan önce içerik kaynağını değerlendirin.
- Geliştirici makinelerinde EDR ile IDE süreçlerinin başlattığı alt süreçleri izleyin.
