CVE-2026-40376: Alvorlig sårbarhed i Visual Studio Code

Visual Studio Code er et populært programmeringsværktøj fra Microsoft, som mange udviklere og it-medarbejdere bruger dagligt. En fejl i programmet betyder, at det ikke tjekker brugerinput ordentligt (det vil sige data, der sendes til programmet). Det kan en angriber udnytte til at opnå flere rettigheder (adgang) på din computer end vedkommende burde have. Fejltypen hedder CWE-20 og kaldes ‘improper input validation’ – på dansk: mangelfuld validering af input. Alle versioner af Visual Studio Code fra 1.0.0 op til – men ikke inklusiv – version 1.123.2 er ramt.

Sårbarheden rammer virksomheder og enkeltpersoner, der bruger Visual Studio Code version 1.0.0 til og med 1.123.1. Det er særligt relevant, hvis dine udviklere, it-folk eller andre medarbejdere bruger programmet på arbejdscomputere med adgang til virksomhedens netværk. Da Visual Studio Code er meget udbredt – også i SMV’er – er der potentielt mange, der er i risikozonen.

En angriber kan over netværket udnytte fejlen til at eskalere sine rettigheder (privilege escalation), hvilket betyder, at vedkommende kan få administratoradgang til den computer, der kører Visual Studio Code. Med den adgang kan angriberen:

• Læse og stjæle følsomme filer og data (fortrolighed kompromitteret)
• Ændre, slette eller kryptere filer og systemer (integritet kompromitteret)
• Gøre computeren eller systemer utilgængelige for dig (tilgængelighed kompromitteret)
• Bevæge sig videre ind i resten af virksomhedens netværk

Angrebet kræver, at en bruger interagerer – for eksempel åbner en fil eller klikker et link – men kræver ikke, at angriberen har adgang til dit system i forvejen.

Sårbarheden er vurderet til CVSS-score 7.5 ud af 10 og klassificeres som Alvorlig (High). Angrebet sker over netværket og kræver ikke, at angriberen er fysisk til stede eller har en konto på systemet. Der kræves dog brugerinteraktion og en vis teknisk kompleksitet for at gennemføre angrebet, hvilket sænker risikoen en smule sammenlignet med det absolutte maksimum. Konsekvenserne – fuld kontrol over systemets fortrolighed, integritet og tilgængelighed – er dog maksimale, hvis angrebet lykkes.

Du bør opdatere Visual Studio Code hurtigst muligt. Sådan gør du:

1. Identificér berørte installationer: Bed din it-ansvarlige om at kortlægge, hvilke medarbejdere der bruger Visual Studio Code, og hvilken version de kører. Tjek versionen via menuen Hjælp → Om i programmet.
2. Opdatér til version 1.123.2 eller nyere: Åbn Visual Studio Code, gå til Hjælp → Søg efter opdateringer, og installér den nyeste version. Alternativt kan opdateringen hentes direkte fra code.visualstudio.com.
3. Genstart programmet: Sørg for, at opdateringen træder i kraft ved at genstarte Visual Studio Code efter installation.
4. Informér dine medarbejdere: Giv besked til alle, der bruger programmet, om at opdatere – også dem, der arbejder hjemmefra eller på bærbare computere uden for kontoret.
5. Overvej midlertidig begrænsning: Hvis opdatering ikke kan ske straks, bør du overveje at begrænse brugen af Visual Studio Code til opdatering er gennemført, særligt på systemer med adgang til følsomme data.