Visual StudioとSSMSのCopilotにRCE脆弱性「CVE-2026-103572」―研究者がPoC公開、Microsoftが修正

Microsoftは2026年10月13日（米国時間）、Visual Studioの関連コンポーネントなどに存在するリモートコード実行（RCE）の脆弱性「CVE-2026-103572」に対するセキュリティ更新プログラムを公開しました。CVSS v3.1の基本値は8.8（High）、Microsoftの深刻度区分は「Important」です。

脆弱性を報告したセキュリティ研究者のJohann Rehberger氏は同日、Visual StudioのCopilot機能とSQL Server Management Studio（SSMS）における問題を技術ブログで解説し、概念実証（PoC）のデモを公開しました。AIアシスタントが外部の文章などに含まれる不正な指示に誘導されると、通常は保護されている設定ファイルを書き換え、利用者の端末で任意のコマンドを実行される恐れがあります。

CVE-2026-103572の概要

• 公表・修正日：2026年10月13日（米国時間）
• 脆弱性識別子：CVE-2026-103572
• 深刻度：Microsoft「Important」、CVSS v3.1 基本値8.8（High）
• 分類：CWE-94（コード生成・コードインジェクションの不適切な制御）
• 影響：特定条件下でのリモートコード実行
• 影響対象：Visual Studio 2022／Visual Studio 2026の該当バージョン。研究者はSSMSへの影響も実証
• 悪用条件：Copilotが悪意ある内容を処理するなど、ユーザー側の操作・AIエージェントの動作が関係する
• 公開状況：研究者による技術解説とPoCデモを公開。実際の攻撃で悪用されたとの確認情報とは区別が必要
• 対応：Visual Studioを修正版へ更新。SSMS利用者も製品の更新とCopilot・MCP構成の確認を実施

原因はCopilotの設定ファイルに対するパス検証の不備

Rehberger氏の分析によると、問題の中心にあるのは、Visual StudioとSSMSが共通して利用するMicrosoft.VisualStudio.Copilot.Core.dllのファイルパス検証処理です。Copilotのエージェント機能はファイル編集などを行えますが、MCPサーバーの設定やIDE自身の設定ファイルは、確認なしに変更できないよう制御されています。

しかし、Windowsでは通常のファイル操作時にファイル名末尾のピリオドが正規化される場合があります。アプリケーション側が正規化前の文字列だけで保護対象のファイル名を照合すると、異なる名前として検査を通過しても、実際の書き込みは保護対象ファイルに及ぶことがあります。

研究者はこの不一致を利用し、AIアシスタントが本来編集を制限されている設定を変更できることを確認しました。信頼済みディレクトリの判定でもパスの解釈に不備があり、相対パスによって意図した範囲外のファイルへアクセスできる問題を指摘しています。

間接的なプロンプトインジェクションからコマンド実行へ

Rehberger氏は、第三者が用意したファイルやMCPサーバーから返された内容など、信頼できない情報をCopilotが処理した場合を想定して攻撃を実証しました。これは、利用者がAIに直接与えた指示ではなく、AIが参照する外部コンテンツに紛れ込ませた指示によって挙動を変える「間接的なプロンプトインジェクション」に当たります。

実証では、Copilotに設定ファイルを変更させ、攻撃者が指定するプログラムを実行可能な状態へ誘導しました。Visual StudioとSSMSの両方では、MCP（Model Context Protocol）サーバーの設定を不正に変更し、IDEがそのサーバーを起動する仕組みが悪用される恐れがあります。Visual Studioでは別の経路として、内部検索に利用する実行ファイルの設定変更を通じたコマンド実行も示されています。

研究者のPoCデモは、攻撃の成立可能性を示すものです。2026年10月15日時点で、この脆弱性を用いた実際の侵害事例が確認されたとの一次発表はありません。PoCの公開を「攻撃被害が発生した」と読み替えることはできません。

影響バージョンと修正版

MicrosoftのCVE情報で示されたVisual Studioの対象範囲は以下のとおりです。

MicrosoftのVisual Studio 2022／2026リリースノートには、それぞれ10月13日公開の17.14.42／18.10.4でCVE-2026-103572への対応が記載されています。また、SSMSの公式リリースノートには同日公開の「SSMS 22.11.0」が掲載されています。ただし、同リリースノートではCVE-2026-103572を個別の修正項目として明記していないため、SSMSの該当環境についてはMicrosoftのセキュリティ更新ガイドと製品更新情報を照合してください。

企業の開発部門・データベース管理者が確認したい対応

まず、組織内のVisual Studio 2022／2026とSSMSの利用状況を把握し、対象バージョンの有無を確認します。Visual Studioについては上記の修正版以降への更新を優先してください。SSMSも最新の提供バージョンとCopilot関連コンポーネントを確認し、更新を進めます。

更新作業と並行して、次の点を点検すると影響範囲を絞り込めます。

1. Copilotのエージェント機能が外部リポジトリ、第三者の文書、MCPサーバーの応答を読み込む運用になっているか。
2. 開発端末やDB管理端末で登録済みのMCPサーバー、起動コマンド、関連設定ファイルに想定外の変更がないか。
3. Copilotに許可しているファイル編集や外部ツールの実行範囲が業務上必要な最小限に収まっているか。
4. 変更が不審な場合、当該端末の調査、資格情報の影響確認、開発・DB接続権限の見直しを行える体制があるか。

AIエージェントの回答や処理能力だけでなく、エージェントが変更できる設定や起動可能なツールも管理対象に含める必要があります。複数の開発端末を管理する場合は、修正済みバージョンの配布状況を継続確認する脆弱性管理の運用にも組み込めます。

出典

• CVE-2026-103572 – Microsoft Security Response Center
• Visual Studio Copilot and SSMS Remote Code Execution (CVE-2026-103572) – Johann Rehberger / Embrace The Red
• Visual Studio 2022 version 17.14 Release Notes – Microsoft
• Visual Studio 2026 Release Notes – Microsoft
• Release Notes for SQL Server Management Studio (SSMS) – Microsoft
• 2026年10月のセキュリティ更新プログラム（月例） – Microsoft Security Response Center

関連記事

九州電力送配電、最大1,090万口分の顧客の個人情報入り外部記憶媒体を紛失-需要者名・住所・使用電力量データなど保存 AI コーディング エージェント 10種に共通する構造的欠陥 GuardFall-数十年前のBashの欠陥がガードレールを回避 アサヒ グループホールディングス、サイバー攻撃で11万超の個人情報漏洩-再発防止策を発表 ChromeとEdgeのTikTok 動画 ダウンロード 拡張機能でサイバー攻撃 キャンペーン Google広告経由でClaude Codeの偽インストールページを配布-新たなマルバタイジング攻撃 pixivFANBOX、事務局を装うなりすましコメントで偽サイト誘導 フィッシング詐欺に注意喚起 パロアルトネットワークス、PAN-OSのAdvanced DNS SecurityにDoS脆弱性（CVE-2026-0229） SolarWinds Serv-Uが4件の重大な脆弱性を修正(CVE-2025-40538 / 40539 / 40540 / 40541) React Server ComponentsにDoS脆弱性　CVE-2026-23869

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)