CVE-2026-40376: Sårbarhed i Visual Studio Code

CVE-2026-40376 er en sårbarhed i Visual Studio Code, den udviklings-editor mange danske virksomheder bruger til at skrive og redigere kode. Fejlen skyldes mangelfuld inputvalidering, CWE-20, det vil sige at programmet ikke tjekker data godt nok, før det bruger dem. Det betyder, at en fil, et projekt eller en arbejdsmappe kan indeholde ondsindet indhold, som får Visual Studio Code til at udføre handlinger med højere rettigheder end tilsigtet, hvis en bruger åbner den.

Det rammer alle organisationer, der bruger Visual Studio Code i version 1.0.0 og frem til, men ikke inklusive, 1.123.2. Det gælder typisk udviklingsteams, it-afdelinger og eksterne konsulenter, der arbejder med kode i danske virksomheder og kommuner. Både Windows-, Mac- og Linux-installationer er omfattet, da sårbarheden ligger i selve editoren.

En angriber kan udforme et ondsindet projekt, en arbejdsmappe eller et depot, som en udvikler bliver overtalt til at åbne, for eksempel fra en ekstern samarbejdspartner eller en tilsyneladende harmløs fil. Åbner udvikleren filen i en sårbar version af Visual Studio Code, kan angriberen opnå forhøjede rettigheder på maskinen og potentielt læse, ændre eller slette data samt påvirke systemets tilgængelighed. I praksis kan det give adgang til kildekode, adgangskoder gemt i editoren eller videre adgang til virksomhedens netværk.

CVSS-score er 7,5 af 10, vurderet alvorlig. Angrebet kræver ikke, at angriberen er logget ind på systemet, men det kræver, at en bruger udfører en handling, typisk at åbne en fil eller et projekt. Angrebskompleksiteten er høj, hvilket betyder, at angriberen skal opfylde bestemte betingelser, der ikke altid er lette at kontrollere. Der er ikke belæg for, at sårbarheden aktivt udnyttes i angreb på tidspunktet for offentliggørelsen, men konsekvensen ved et vellykket angreb er høj på både fortrolighed, integritet og tilgængelighed.

Følg disse trin for at lukke hullet og begrænse risikoen, mens I opdaterer:

1. Opdatér Visual Studio Code til version 1.123.2 eller nyere på alle maskiner. Dette lukker selve sårbarheden.
2. Lav en oversigt over, hvor Visual Studio Code er installeret i organisationen, herunder på udvikleres og konsulenters maskiner.
3. Informér udviklere om ikke at åbne ukendte eller utestede projekter, arbejdsmapper og depoter, før opdateringen er gennemført.
4. Aktivér automatiske opdateringer for Visual Studio Code, hvor det er muligt, så fremtidige rettelser installeres hurtigere.
5. Gennemgå installerede udvidelser og fjern dem, der ikke er nødvendige, da udvidelser kan øge angrebsfladen.
6. Kontakt ekstern it-sikkerhedshjælp, hvis I har mistanke om, at en medarbejder har åbnet et mistænkeligt projekt, eller hvis I mangler ressourcer til at rulle opdateringen ud i hele organisationen.