Microsoftは2026年10月13日（米国時間）、Visual Studioの関連コンポーネントなどに存在するリモートコード実行（RCE）の脆弱性「CVE-2026-103572」に対するセキュリティ更新プログラムを公開しました。CVSS v3.1の基本値は8.8（High）、Microsoftの深刻度区分は「Important」です。
脆弱性を報告したセキュリティ研究者のJohann Rehberger氏は同日、Visual StudioのCopilot機能とSQL Server Management Studio（SSMS）における問題を技術ブログで解説し、概念実証（PoC）のデモを公開しました。AIアシスタントが外部の文章などに含まれる不正な指示に誘導されると、通常は保護されている設定ファイルを書き換え、利用者の端末で任意のコマンドを実行される恐れがあります。
CVE-2026-103572の概要
公表・修正日：2026年10月13日（米国時間）
脆弱性識別子：CVE-2026-103572
深刻度：Microsoft「Important」、CVSS v3.1 基本値8.8（High）
分類：CWE-94（コード生成・コードインジェクションの不適切な制御）
影響：特定条件下でのリモートコード実行
影響対象：Visual Studio 2022／Visual Studio 2026の該当バージョン。研究者はSSMSへの影響も実証
悪用条件：Copilotが悪意ある内容を処理するなど、ユーザー側の操作・AIエージェントの動作が関係する
公開状況：研究者による技術解説とPoCデモを公開。実際の攻撃で悪用されたとの確認情報とは区別が必要
対応：Visual Studioを修正版へ更新。SSMS利用者も製品の更新とCopilot・MCP構成の確認を実施
項目
内容
脆弱性
CVE-2026-103572
CVSS v3.1
8.8（High）
ベンダー深刻度
Important
CWE
CWE-94
想定される影響
AIアシスタントを経由した設定改変、任意のコマンド実行
PoC
研究者がデモを公開
修正公開
2026年10月13日
原因はCopilotの設定ファイルに対するパス検証の不備
Rehberger氏の分析によると、問題の中心にあるのは、Visual StudioとSSMSが共通して利用するMicrosoft.VisualStudio.Copilot.Core.dllのファイルパス検証処理です。Copilotのエージェント機能はファイル編集などを行えますが、MCPサーバーの設定やIDE自身の設定ファイルは、確認なしに変更できないよう制御されています。
しかし、Windowsでは通常のファイル操作時にファイル名末尾のピリオドが正規化される場合があります。アプリケーション側が正規化前の文字列だけで保護対象のファイル名を照合すると、異なる名前として検査を通過しても、実際の書き込みは保護対象ファイルに及ぶことがあります。
研究者はこの不一致を利用し、AIアシスタントが本来編集を制限されている設定を変更できることを確認しました。信頼済みディレクトリの判定でもパスの解釈に不備があり、相対パスによって意図した範囲外のファイルへアクセスできる問題を指摘しています。
間接的なプロンプトインジェクションからコマンド実行へ
Rehberger氏は、第三者が用意したファイルやMCPサーバーから返された内容など、信頼できない情報をCopilotが処理した場合を想定して攻撃を実証しました。これは、利用者がAIに直接与えた指示ではなく、AIが参照する外部コンテンツに紛れ込ませた指示によって挙動を変える「間接的なプロンプトインジェクション」に当たります。
実証では、Copilotに設定ファイルを変更させ、攻撃者が指定するプログラムを実行可能な状態へ誘導しました。Visual StudioとSSMSの両方では、MCP（Model Context Protocol）サーバーの設定を不正に変更し、IDEがそのサーバーを起動する仕組みが悪用される恐れがあります。Visual Studioでは別の経路として、内部検索に利用する実行ファイルの設定変更を通じたコマンド実行も示されています。
研究者のPoCデモは、攻撃の成立可能性を示すものです。2026年10月15日時点で、この脆弱性を用いた実際の侵害事例が確認されたとの一次発表はありません。PoCの公開を「攻撃被害が発生した」と読み替えることはできません。
関連資料
AI時代の脆弱性管理・パッチ管理｜運用見直しのポイントと製品選定の確認事項
脆弱性の優先順位付けから修復、暫定防御、パッチ管理まで、運用見直しと製品選定で確認したいポイントをまとめた資料です。
資料提供元：株式会社アズジェント
脆弱性管理の資料を見る
影響バージョンと修正版
MicrosoftのCVE情報で示されたVisual Studioの対象範囲は以下のとおりです。
製品
影響を受けるバージョン
修正版
Visual Studio 2022 version 17.14
17.14.0以上、17.14.42未満
17.14.42以降
Visual Studio 2026 version 18.10
18.10.0以上、18.10.4未満
18.10.4以降
SQL Server Management Studio（SSMS）
研究者がCopilot関連機能で影響を実証。MicrosoftのCVEデータではSSMS単独の影響ビルド範囲を明示していない
最新の製品更新情報を確認
MicrosoftのVisual Studio 2022／2026リリースノートには、それぞれ10月13日公開の17.14.42／18.10.4でCVE-2026-103572への対応が記載されています。また、SSMSの公式リリースノートには同日公開の「SSMS 22.11.0」が掲載されています。ただし、同リリースノートではCVE-2026-103572を個別の修正項目として明記していないため、SSMSの該当環境についてはMicrosoftのセキュリティ更新ガイドと製品更新情報を照合してください。
企業の開発部門・データベース管理者が確認したい対応
まず、組織内のVisual Studio 2022／2026とSSMSの利用状況を把握し、対象バージョンの有無を確認します。Visual Studioについては上記の修正版以降への更新を優先してください。SSMSも最新の提供バージョンとCopilot関連コンポーネントを確認し、更新を進めます。
更新作業と並行して、次の点を点検すると影響範囲を絞り込めます。
Copilotのエージェント機能が外部リポジトリ、第三者の文書、MCPサーバーの応答を読み込む運用になっているか。
開発端末やDB管理端末で登録済みのMCPサーバー、起動コマンド、関連設定ファイルに想定外の変更がないか。
Copilotに許可しているファイル編集や外部ツールの実行範囲が業務上必要な最小限に収まっているか。
変更が不審な場合、当該端末の調査、資格情報の影響確認、開発・DB接続権限の見直しを行える体制があるか。
AIエージェントの回答や処理能力だけでなく、エージェントが変更できる設定や起動可能なツールも管理対象に含める必要があります。複数の開発端末を管理する場合は、修正済みバージョンの配布状況を継続確認する脆弱性管理の運用にも組み込めます。
出典
この記事をシェアする
メールマガジン
最新のセキュリティ情報やセキュリティ対策に関する情報をお届けします。
Googleアカウントへのログインが必要です
投稿者：三村
セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)