Vim High Risk RCE Hole CVE-2026-34714: AI Dig-in, sero-interactive, ipatupad ang anumang code

Noong Abril 2026, ibinunyag ng editor ng Vim ang isang high-risk remote code na pagpapatupad ng puwang (CVE-2026-34714, CVS 9.2). Ang loophole na ito ay natagpuan ng mga mananaliksik na gumagamit ng AI support audits upang makamit ang sero interaktibong mga pag-atake sa pamamagitan ng pag-eembeding ng mga malicious tabpanel configences sa Modrine: Ang mga user ay maaaring awtomatikong magbunsod at magsagawa ng anumang system command sa backstage nang walang anumang karagdagang operasyon, gamit ang Vim. Sa kasalukuyan ang POC ay bukas, malawak na-ranging, pakisuyong i-upgrade agad ang lahat ng mga gumagamit ng Vim!

Sumaryo ng mga puwang

Mga Larangan	Mga Detalye
CVE ID	CVE-2026-34714
Kamahalan	Malaking panganib (CVSS 9.2)
Impact ang software	Ang Sim ay mas mababa sa 9.2.0272
Uri ng manok	Pagpatay sa Malayong Kodigo (RCE)
Humanap ng Pamamaraan	Sinusuportahan ko ang audit
Mahirap gamitin	Mababa (inilathala angPOC)

Ang teoriya ng Hole

Pamamaraan ng pagsalakay: Modeline + Tabpanel

Ang loophole na ito ay umiiral sa tungkuling Tabpanel ng Vim, kung saan ang sumasalakay ay gumagamit ng %{expr} expression upang iturok ang isang loophole at makamit ang paglalapat ng code sa pamamagitan ng pag-eembbed ng isang mapaminsalang configuration sa Modeline (Model Line) sa ulo ng dokumento.

Attack sequence:

Lumikha ang sumalakay ng isang pantanging salansan na naglalaman ng mapaminsalang Moderine
Buksan ang talaksan sa gumagamit gamit ang Vim
Ang vim ay lumilikha ng isang loophole samantalang parsing Modeline
Ang mahalay na ekspresyon ay kusang - loob na pinatay sa likod ng entablado
Ang mga sumasalakay ay maaaring makapasok sa sistema.

Walang tigil na pagsalakay.

Pinakapanganib, ito ay isang sero-interactive attack:

Hindi kailangang ilapat ng gumagamit ang anumang utos
Buksan mo lang ang file para ma-trigger.
Ang pag-atake ay self-executed backstage.
Huwag Mang - unawa

Malaking epekto

Ang loophole na ito ay nakakaapekto sa lahat ng pre-Vim 9.2.0272 na bersyon, kabilang ang:

Nakaluklok ang vim dahil sa default ng sistemang Linux
Ang mismong Vim ng MacOS
Ang Windows Vim
Neovim (bahaging bersiyon)
IDE-integrated Vim mode

AI, humukay ng isang hukay.

Ang loophole na ito ay natuklasan ng mga mananaliksik na gumagamit ng AI Auxiliary Audit, palatandaan ng isang malaking pagsulong sa dako ng mga butas:

Automation code audit: Sinusuri ng AI ang kodigong pangsource ng Vim at kinikilala ang mga kakulangan sa seguridad sa gawaing Tabpanel
Pagkilala sa mode: Ipinakikilala ng AI ang potensiyal na panganib ng %i{exprić expression injection
POC Auto Generate: AI Auxiliary Generating Gap Utilization Code

Rehabilitasyon ng programa

Option 1: Kailangan ang upgrade, Vim

# Ubuntu/Debian
sudo apt update
sudo apt install vim

# CentOS/RHEL
sudo yum update vim

# macOS
brew update
brew upgrade vim

# 验证版本
vim --version

Ensure na ang bersyong iyan ay mas malaki sa o katumbas ng 9.2.0272

Option 2: Pansamantalang paghahanda

# 在 ~/.vimrc 中添加
set nomodeline
set modelines=0

Sumaryo

Ang Vim CVE-2026-34714 ay isang high-risk na sero-interactive RCE loophole, ang CBS ay nakakuha ng 9.2, na may malawak na-rangging epekto. Ang presipitasyong ito ay natuklasan ng AI-assisted audits, na nagmarka ng isang pangunahing ekwasyon sa lugar ng pananaliksik na panseguridad.

Para sa lahat ng mga gumagamit ng Vim, ligtas na agad na mag-upgrade sa 9.2.0272 o higit pa.

Vim Users Note: Upgrade pagdaka laban sa sero-interactive RCE attack!