Un punto final permitía a Copilot en Visual Studio reescribir sus propias salvaguardas y ejecutar código

El investigador de seguridad Johann Rehberger, que publica como Embrace The Red, ha detallado una vulnerabilidad de ejecución remota de código en el agente GitHub Copilot integrado en Microsoft Visual Studio y SQL Server Management Studio (SSMS). Microsoft la corrigió en su Patch Tuesday del 13 de octubre de 2026 con el identificador CVE-2026-103572. Según el investigador, la compañía le asigna gravedad Importante y una puntuación CVSS de 8,8.

Cómo funcionaba la evasión

Copilot debe pedir confirmación al usuario antes de modificar archivos sensibles como .mcp.json, que declara los servidores Model Context Protocol que el entorno puede iniciar, o el archivo de configuración del editor. La comprobación comparaba el nombre solicitado con una lista de nombres protegidos. Rehberger descubrió que, al añadir un punto final, como en .mcp.json., el nombre dejaba de coincidir con esa lista. Windows elimina ese punto en silencio al escribir, de modo que el cambio acaba igualmente en el archivo protegido.

A partir de ahí, el agente podía registrar y activar un nuevo servidor MCP, lo que hacía que el IDE ejecutara un comando elegido por el atacante. En Visual Studio existía una segunda vía: cambiar la ruta de la herramienta de búsqueda ripgrep para que se lanzara otro ejecutable cada vez que Copilot buscara en el código. El investigador describe además un recorrido de directorios dentro de una carpeta de extensiones de confianza que ayudaba a localizar el archivo de configuración en SSMS. Su prueba de concepto abría la calculadora de Windows.

No hace falta un usuario malintencionado: una inyección de prompts indirecta, escondida en un archivo del repositorio o en datos devueltos por un servidor MCP, podía llevar al agente a realizar esas escrituras.

Corrección y cronología

Según el análisis del investigador, Microsoft ahora normaliza las rutas con GetFullPath antes de la comprobación, lo que elimina los puntos finales y resuelve los segmentos ... Daily CyberSecurity cita las versiones corregidas 17.14.42 y 18.10.4 e indica que Microsoft no había detectado explotación activa. El fallo se notificó el 4 de agosto de 2026 y se confirmó el 16 de septiembre; Rehberger afirma que se consideró fuera del alcance de las recompensas.

Por qué importa

El caso ilustra una debilidad recurrente de los agentes de programación: un control al que el propio agente puede llegar solo es tan sólido como el código que lo aplica. Rehberger recomienda diseñar salvaguardas que resistan aunque el agente sea secuestrado y mantener a los agentes alejados de la configuración que decide qué herramientas se ejecutan. Mientras no se actualice, evitar repositorios no fiables y servidores MCP sin verificar en las sesiones de Copilot reduce la exposición.