速修 | 微软开发工具代码注入，SSMS 一并中招 (CVE-2026-103572)

红队安全圈
红队安全圈

红队安全圈

2026年10月18日 08:00
重庆

去阅读

微软 10 月补丁日修掉 VSTT 与 SSMS 里的代码注入漏洞（CVE-2026-103572，CVSS 8.8），网络可达但需用户交互，装了 Visual Studio 或 SSMS 的尽快升级。

02  漏洞速览

漏洞编号CVE-2026-103572

影响产品VS 2022 / VS 2026 / SSMS（VSTT 组件）

漏洞类型代码注入（CWE-94）→ RCE

危害等级CVSS 3.1 8.8（Important）

利用向量AV:N/AC:L/PR:N/UI:R

是否在野否，未公开披露，暂无 PoC

修复版本VS2022 17.14.42 / VS2026 18.10.4

01  引言

微软 10 月 13 日补丁日修了一个横跨两个开发工具的远程代码执行漏洞 CVE-2026-103572，存在于 Visual Studio Tools for Applications（VSTT）和 SQL Server Management Studio（SSMS）里。CVSS 3.1 评分 8.8（Important），网络向量可达，无权限要求，唯一门槛是需要用户交互（UI:R）。凡是开发机上装了 VS、DBA 机器上装着 SSMS 的，都在射程内。

03  漏洞成因

根因是对代码生成的控制不当（Improper Control of Generation of Code）。VSTT 的本职是把 VB 代码嵌入到应用里做脚本化扩展，这套机制会动态编译并执行代码。当外部可控的内容进入这条编译执行链而缺少隔离校验时，攻击者可以让进程按自己的意图生成并执行代码——标准的注入变 RCE 路径。

官方 FAQ 里透了一个细节：利用场景与 Copilot 交互有关——攻击者通过网络投递恶意提示，用户与 Copilot 交互后，被篡改的提示驱使后端组件或集成工具执行非预期命令，进而升级为 RCE。也就是说 UI:R 这个交互门槛，实际是拿 AI 助手的对话当触发器，这类攻击面以后只会越来越多。

04  影响范围

受影响的固定为两个在维护分支：

• Visual Studio 2022 version 17.14：修复于 17.14.42

• Visual Studio 2026 version 18.10：修复于 18.10.4

• SSMS 本身走同一 VSTT 组件，装了受影响版本 SSMS 的机器同样要处理

更新后需要重启。

05  危害推演

目前没有公开 PoC，从成因和向量可以推演攻击路径：

1. 攻击者构造一份带恶意提示/工程内容的数据，通过邮件、仓库、文档分享等渠道送到目标面前；

2. 开发者或 DBA 在 VS / SSMS 里正常操作，触发 Copilot 或 VSTT 相关交互；

3. 被污染的输入进入代码生成链，进程在用户权限下执行攻击者指定的命令；

4. 拿到开发机或数据库管理机的 shell——这两类机器上有源码、有连接串、有内网横向跳板。

评估：Microsoft 自己给的利用评级是利用可能性低（E:U），且未在野。但 C:H/I:H/A:H 三项全高，交互门槛挡不住钓鱼式投递，值得排在补丁日的前几批。

06  检测与排查

判断自己是否中招，核心是查版本号：

& \"${env:ProgramFiles(x86)}\

Microsoft Visual Studio\Installer\

vswhere.exe\" -all -products \* `

# 列出全部 VS 实例版本

-property installationVersion

• VS2022 实例版本低于 17.14.42 → 需要更新

• VS2026 实例版本低于 18.10.4 → 需要更新

• SSMS：帮助 → 关于，确认当前版本，对照微软公告的修复构建

07  修复建议

• Visual Studio 2022：升级到 17.14.42 或更高（VS Installer 或官方 release-history 页面下载 Security Update）

• Visual Studio 2026：升级到 18.10.4 或更高

• SSMS：按微软公告对应的安全更新处理

升级完成后重启，再用第 06 节的命令复核版本号确认修复生效。

临时缓解：在补丁部署前，限制开发/DBA 机器上的 Copilot 交互场景，提醒用户不要点击来路不明的工程文件与提示内容——但这只是止损，根子上还是要打补丁。

08  红队视角

这个洞单看利用评级不算猛，但暴露了一个值得记住的趋势：AI 助手正在变成漏洞利用链上的合法触发器。提示注入不再只是让模型说错话，而是能顺着集成工具链一路走到 RCE——Copilot、Cursor、各类 Agent 插件都属于这个攻击面。

做攻防演练时，开发者工作站上的 AI 助手可以作为一条新的初始访问思路；做防御时，把 AI 交互的输入源当成不可信输入对待，和当年对待反序列化数据一个级别。后续如果出现公开 PoC，会跟进补充利用细节。

下期继续蹲厂商补丁和 PoC 动静，关注后漏洞先知道，修复不踩坑。

— END —