微软向研究员发放4000美元奖金，奖励其发现VS Code高危安全绕过漏洞

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年10月20日 08:01
北京

去阅读

微软向安全研究员陈萨姆（Sam Chen）发放4000美元奖金，该研究员上报了Visual Studio Code（VS Code）的一处漏洞，攻击者可借此绕过工作区信任（Workspace Trust）防护机制。

该漏洞编号为CVE‑2026‑81376，影响版本低于1.136.2的VS Code，CVSS高危评分为9.6分。微软已经完成漏洞修复，用户应当升级至1.136.2或更高版本。

工作区信任功能用于限制VS Code在用户打开未审核项目时的操作权限。在受限模式下，编辑器会拦截或限制可以执行该工作区代码的各类功能。

该漏洞的危害在于，它可以破坏这道安全边界，泄露开发者本地数据，或是允许以当前用户权限执行恶意代码。

以Samchen为笔名对外发布研究成果的研究员陈萨姆表示，该漏洞隐藏在VS Code的工作区信任机制中，可被用于实现远程代码执行。

他的公开博文说明完整技术分析文档尚未发布，因此目前没有公开具体漏洞利用步骤。这份报告仅披露软件漏洞，并未发现恶意软件，并非恶意攻击事件报道。

VS Code高危安全绕过漏洞

微软安全公告将CVE‑2026‑81376描述为“存在缺失判断条件的不完全比较问题”。美国国家漏洞数据库（NVD）将其归类为可通过网络触发的安全功能绕过漏洞。

该漏洞CVSS3.1指标包含用户交互条件，也就是说需要受害者执行特定操作；漏洞对保密性、完整性、可用性均会造成严重影响。

实际风险并不只是项目内部包含可疑代码。工作区信任的设计初衷，就是通过限制可运行项目内容的功能，降低打开陌生文件、文件夹带来的风险。

微软公告说明，攻击者精心构造的工作区可以连接攻击者控制的服务，绕过上述防护限制。一旦攻击成功，本地数据会遭到泄露，恶意代码将以登录用户身份运行。

该用户权限具备很高的攻击价值。开发者经常在同一台设备保存源代码、凭证、云服务工具以及访问令牌。一旦不受信任的工作区内容突破安全边界，遭受威胁的就不只是编辑器本身。

公告并未宣称所有工作区都可以触发该漏洞，公开资料也没有完整的概念验证代码。请勿把未经证实的漏洞利用细节当成既定事实。

该漏洞也反映出开发工具领域普遍的安全问题：当软件过度信任项目文件与编辑器配置时，这些内容就会成为攻击路径。