مایکروسافت به پژوهشگر امنیتی، Sam Chen، مبلغ ۴۰۰۰ دلار برای گزارش یک نقص امنیتی در Visual Studio Code پرداخت کرد. این آسیب‌پذیری می‌تواند مکانیزم حفاظتی Workspace Trust را دور بزند و امنیت محیط توسعه‌دهندگان را به خطر بیندازد.
جزئیات فنی CVE-2026-81376
این آسیب‌پذیری با شناسه CVE-2026-81376 شناخته می‌شود و نسخه‌های قدیمی‌تر از 1.136.2 را تحت تأثیر قرار می‌دهد. امتیاز CVSS این نقص 9.6 (Critical) ارزیابی شده است. مایکروسافت این مشکل را برطرف کرده و کاربران باید بلافاصله نرم‌افزار خود را به نسخه 1.136.2 یا بالاتر به‌روزرسانی کنند.
مکانیزم Workspace Trust در VS Code با هدف محدود کردن فعالیت‌های نرم‌افزار هنگام باز کردن پروژه‌های ناشناخته طراحی شده است. در حالت محدود (Restricted Mode)، ویرایشگر از اجرای کدهای خودکار در آن فضای کاری جلوگیری می‌کند. با این حال، این نقص می‌تواند مرزهای امنیتی مذکور را تضعیف کرده و منجر به دسترسی به داده‌های محلی یا اجرای کد از راه دور (Remote Code Execution – RCE) شود.
پیامدهای امنیتی و نحوه مقابله
طبق گزارش مایکروسافت، این آسیب‌پذیری ناشی از یک “مقایسه ناقص با فاکتورهای مفقود” است که می‌تواند از طریق شبکه نیز فعال شود. از آنجایی که توسعه‌دهندگان معمولاً کدهای منبع، اعتبارنامه‌ها (Credentials)، ابزارهای ابری و توکن‌های دسترسی را در سیستم خود نگه می‌دارند، نفوذ به محیط VS Code می‌تواند منجر به سرایت به سایر بخش‌های حساس سیستم شود.
- اقدام فوری: تمامی کاربران باید VS Code را به آخرین نسخه به‌روزرسانی کنند.
- استفاده از Restricted Mode: هنگام بررسی پروژه‌ها یا مخازن (Repositories) ناشناخته، حتماً از حالت محدود استفاده کنید.
- بازبینی دسترسی‌ها: سازمان‌ها باید دستگاه‌های توسعه‌دهندگان را از نظر فعالیت‌های مشکوک پایش کنند.
