Visual Studio CVE-2026-118147はHigh―証明書検証不備、4系列の更新を確認

Visual Studioの証明書検証不備CVE-2026-118147が、日本時間2026年11月1日3時13分にCVEレコードへ登録されました。Microsoftの初回公表記録は10月30日23時です。評価はHigh（高）、CVSS v3.1は7.4で、登録日と初回公表日を区別して確認する必要があります。

Microsoftは、未認証の攻撃者がネットワーク越しになりすましを行える問題と説明しています。評価上はユーザー操作を必要としませんが、攻撃の複雑さは高とされています。具体的な証明書の経路や成立条件の詳細は確認した説明にないため、任意コード実行と断定することはできません。

影響範囲の上限は、2017の15.9系が15.9.84未満、2019の16.11系が16.11.62未満、2022の17.14系が17.14.44未満、2026の18.11系が18.11.3未満です。Microsoftの登録情報では各境界版が影響範囲から除かれており、該当系列の更新先を確認する基準になります。

利用者は導入済みの製品名・系列を確認し、Visual Studio Installerで対応する更新を適用したうえで、稼働バージョンを照合してください。Visual Studio Codeとは別製品です。今回のレコードだけを根拠に、VS CodeやCursorも同じ脆弱性を持つとは判断できません。