実践ガイド公式更新手順と編集部による確認方法

Visual StudioのCopilot脆弱性に対応する―更新と設定確認の手順

アプリの依存更新だけでは、開発端末のIDEは更新されません。利用製品を特定し、修正版の適用と設定の確認まで進めます。

修正の公開日：2026-10-13 / 公開：2026-10-16 / 更新：2026-10-16 / 最終確認：2026-10-16
Codingholic 編集部 · 約3分

CVE-2026-103572への対応は、開発端末に入っている製品の更新から始めます。自社アプリのパッケージを更新しても、Visual Studio本体に修正が入るわけではありません。

以下は公式の更新手順に、編集部が提案する設定・動作確認を加えたガイドです。当社が対象製品で攻撃を再現した結果ではありません。

1. 製品・バージョン・更新チャネルを確認する

担当者はVisual Studio Installerで導入済みの製品とバージョンを確認し、端末名と更新担当者を記録します。複数のインストールがある場合は、普段使う一つだけでなく各環境を確認してください。

MicrosoftはVisual Studio 2026の18.10.4で本CVEへの対応を記載しています。他の系列は同じ番号で比較せず、セキュリティ更新ガイドの対象製品と修正版を照合します。SSMSは別製品として確認し、Visual Studioを更新しただけで対応済みにしません。

作業を保存してVisual Studioを終了し、Installerで対象のインストールを選んで更新します。Installer自身の更新や端末の再起動を求められたら、案内に従います。組織の管理下で更新できない場合は、管理担当者へ引き継いでください。

更新後は普段の起動方法で製品を開き、実際に動いているバージョンを再確認します。修正を含む版であることに加え、通常のビルドと必要な拡張機能が動くことを確認します。更新に失敗した端末は、完了した端末と分けて記録します。

編集部では、更新と併せてMCPサーバーの登録内容・起動コマンドと、IDEの関連設定を確認することを勧めます。承認された構成や変更履歴と比べ、身に覚えのない登録があれば、起動して確かめず担当者へ調査を依頼してください。

不審な変更がある場合は、設定やログを保全し、その端末から利用できる認証情報への影響も確認します。ソフトウェアの更新だけでは、過去に実行された操作や既に漏れた情報は取り消せません。

完了条件は、対象製品の修正版適用、再起動後のバージョン確認、必要な業務動作の確認です。設定の不審点があれば、その調査は別の未完了項目として残します。

修正版を確認できないSSMS環境などは、未確認と記録してMicrosoftの製品情報で確認を続けます。当社では、その間は該当するCopilotのエージェント機能の利用を見合わせる運用を提案します。これは公式パッチの代替でも、安全性の保証でもありません。

出典の報告と、編集部が提案する点検・対策を分けて記載しています。本記事の点検項目は個別環境の診断結果ではありません。