Un simple point final permettait à Copilot dans Visual Studio de réécrire ses garde-fous et d'exécuter du code

Le chercheur en sécurité Johann Rehberger, qui publie sous le nom Embrace The Red, a détaillé une faille d'exécution de code à distance dans l'agent GitHub Copilot intégré à Microsoft Visual Studio et à SQL Server Management Studio (SSMS). Microsoft l'a corrigée lors de son Patch Tuesday du 13 octobre 2026, sous l'identifiant CVE-2026-103572. D'après le chercheur, l'éditeur lui attribue la gravité « Important » et un score CVSS de 8,8.

Le mécanisme du contournement

Copilot est censé demander l'accord de l'utilisateur avant de modifier des fichiers sensibles comme .mcp.json, qui déclare les serveurs Model Context Protocol que l'environnement peut lancer, ou le fichier de paramètres de l'éditeur. La vérification comparait le nom demandé à une liste de noms protégés. Rehberger a constaté qu'en ajoutant un point final, par exemple .mcp.json., le nom échappait à ce contrôle. Or Windows supprime silencieusement ce point lors de l'écriture : la modification atterrit donc bel et bien sur le fichier protégé.

L'agent pouvait alors déclarer et activer un nouveau serveur MCP, ce qui amenait l'IDE à lancer une commande choisie par l'attaquant. Dans Visual Studio, une seconde voie consistait à modifier le chemin de l'outil de recherche ripgrep pour qu'un autre exécutable démarre à chaque recherche de Copilot. Le chercheur décrit aussi une traversée de répertoires dans un dossier d'extensions de confiance, utile pour localiser le fichier de paramètres dans SSMS. Sa preuve de concept ouvrait la calculatrice de Windows.

Nul besoin d'un utilisateur malveillant : une injection de prompt indirecte, cachée dans un fichier de dépôt ou dans la réponse d'un serveur MCP, pouvait pousser l'agent à effectuer ces écritures.

Correctif et chronologie

Selon l'analyse du chercheur, Microsoft normalise désormais les chemins avec GetFullPath avant la vérification, ce qui retire les points finaux et résout les segments ... Daily CyberSecurity cite les versions corrigées 17.14.42 et 18.10.4 et indique que Microsoft n'a pas constaté d'exploitation active. La faille a été signalée le 4 août 2026 et confirmée le 16 septembre ; Rehberger affirme qu'elle a été jugée hors du périmètre de la prime aux bogues.

Pourquoi c'est important

Ce cas illustre une faiblesse récurrente des agents de programmation : un contrôle que l'agent peut lui-même atteindre ne vaut que par le code qui l'applique. Rehberger recommande de concevoir des garde-fous qui tiennent même si l'agent est détourné, et de tenir les agents à l'écart de la configuration qui décide quels outils s'exécutent. En attendant la mise à jour, éviter les dépôts non fiables et les serveurs MCP non vérifiés dans les sessions Copilot limite l'exposition.