이번 소식
Microsoft가 VS Code 1.141.1 보안 업데이트를 공개했습니다. MCP 서버 사이에 접근 권한이 공유되는 문제와 악성 작업공간의 오류 알림 링크를 통한 명령 실행 문제를 수정합니다. 두 공식 권고의 영향 대상은 1.141.0 및 이전 버전이며, 수정 버전은 1.141.1입니다.
달라진 점
MCP는 AI 도구가 외부 기능과 연결할 때 쓰는 규격입니다. 기존 VS Code에서는 한 MCP 서버에 승인한 네트워크 접근·파일 쓰기 권한이 같은 설정을 사용하는 다른 서버에도 적용될 수 있었습니다. 공격자가 제어하는 서버가 해당 공유 설정 안에서 실행되는 조건이 필요하며, Microsoft는 이 문제(CVE-2026-102851)를 Moderate 등급으로 분류했습니다.
1.141.1은 저장된 승인과 접근 허용을 서버별로 분리합니다. 공유 설정에는 거부 규칙만 남기고, 기존 방식으로 공유된 허용 권한은 무시하도록 수정했습니다.
다른 수정은 High 등급의 원격 코드 실행 문제(CVE-2026-69370)입니다. 악성 .vscode/extensions.json 파일이 들어 있는 프로젝트 작업공간을 연 뒤, 사용자가 오류 알림의 링크를 클릭하면 신뢰하지 않는 작업공간에서도 명령이 실행될 수 있었습니다. 수정 버전은 해당 환경에서 명령을 실행하는 주소가 담긴 알림 링크를 안전하게 처리하도록 바꿨습니다.
어떤 점이 달라지나요?
여러 MCP 서버를 연결해 사용하는 개발자는 한 서버에 준 권한이 다른 서버로 함께 넘어가는 문제를 막는 수정을 받습니다. 다른 사람이 만든 프로젝트를 열어보는 독자에게는 오류 알림 링크 처리 수정도 중요합니다. 작업공간을 여는 것뿐 아니라 사용자의 링크 클릭이 필요하다는 조건을 구분해 알아두세요.
사용 전 확인할 점
Microsoft는 업데이트 전까지 신뢰할 수 있는 MCP 서버만 실행하고, 신뢰하지 않는 서버와 설정을 공유하는 환경에서는 네트워크·파일 쓰기 권한을 추가 승인하지 않도록 안내합니다. 신뢰하지 않는 작업공간의 알림 링크도 클릭하지 말라는 것이 공식 임시 대응입니다.
릴리스 공개 시각(KST): 2026년 10월 14일 06:53:53. GitHub 공식 릴리스의 공개 시각 기준이며, 두 보안 권고의 표시 발표일은 2026년 10월 13일입니다.
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.