Vim High जोखिम RCE होल CVE-2026-34714: AI डिग-इन, शून्य-इंटरएक्टिव, किसी भी कोड को लागू करें

अप्रैल 2026 में, विम संपादक ने एक उच्च जोखिम रिमोट कोड कार्यान्वयन अंतराल (CVE-2026-34714, CVSS 9.2) को उजागर किया। यह लूपहोल शोधकर्ताओं द्वारा पाया गया था कि वे मॉडरिन में दुर्भावनापूर्ण टैबपैनल विन्यास को एम्बेड करके शून्य इंटरैक्टिव हमलों को प्राप्त करने के लिए एआई समर्थन ऑडिट का उपयोग करते हैं: उपयोगकर्ता स्वचालित रूप से Vim का उपयोग करके, बिना किसी अतिरिक्त ऑपरेशन के बैकस्टेज में किसी भी सिस्टम कमांड को ट्रिगर और निष्पादित कर सकते हैं। वर्तमान में POC खुला है, व्यापक रेंजिंग, कृपया सभी Vim उपयोगकर्ताओं को तुरंत अपग्रेड करें!

अंतराल का सारांश

फील्ड	विवरण
CVE ID	CVE-2026-34714
विस्तार	उच्च जोखिम (CVSS 9.2)
प्रभाव सॉफ्टवेयर	सिम 9.2.0272 से कम है
होल प्रकार	रिमोट कोड निष्पादन (RCE)
विधि	एआई समर्थन लेखा परीक्षा
उपयोग करना कठिन	कम (POC प्रकाशित)

होल सिद्धांत

हमले की विधि: मॉडलिन + टैबपैनल

यह लूपहोल विम के टैबपैनल फंक्शन में मौजूद है, जहां assailant एक लूपहोल लगाने के लिए %{expr} अभिव्यक्ति का उपयोग करता है और दस्तावेज़ के प्रमुख में मॉडलिन (मॉडल लाइन) में एक दुर्भावनापूर्ण विन्यास एम्बेड करके कोड निष्पादन प्राप्त करता है।

हमला अनुक्रम:

हत्यारे ने दुर्भावनापूर्ण मोड्रिन युक्त एक विशेष फ़ाइल बनाई थी
Vim का उपयोग करके उपयोगकर्ता के साथ ओपन फाइल
Vim एक लूपहोल ट्रिगर करता है जबकि मॉडलिन को पार करता है
मानसिक अभिव्यक्ति स्वचालित रूप से बैकस्टेज निष्पादित
हमलावरों को सिस्टम तक पहुंच होती है।

शून्य इंटरैक्टिव हमला।

सबसे खतरनाक बात यह है कि यह शून्य निष्क्रिय हमला है:

उपयोगकर्ता को किसी भी आदेश को निष्पादित करने की आवश्यकता नहीं है
बस ट्रिगर करने के लिए फ़ाइल खोलें।
हमला स्व-executed मंच है।
उपयोगकर्ता धारणा नहीं

प्रभाव का दायरा

यह लूपहोल सभी पूर्व-Vim 9.2.0272 संस्करणों को प्रभावित करता है, जिसमें शामिल हैं:

लिनक्स सिस्टम डिफ़ॉल्ट रूप से स्थापित विम
MacOS
विंडोज विम
Neovim (partial version)
आईडीई-एकीकृत विम मोड

एआई, एक छेद खोदना।

इस लूपहोल को एआई सहायक ऑडिट का उपयोग करके शोधकर्ताओं द्वारा खोजा गया था, जो लूपहोल के क्षेत्र में एक प्रमुख सफलता को चिह्नित करता है:

स्वचालन कोड लेखा परीक्षा: एआई विम स्रोत कोड का विश्लेषण करता है और टैबपैनल फंक्शन में सुरक्षा की कमी की पहचान करता है
होल मोड मान्यता: एआई %{expr} अभिव्यक्ति इंजेक्शन के संभावित जोखिम की पहचान करता है
पीओसी ऑटो जनरेट: एआई सहायक जनरेटिंग गैप उपयोगिता कोड

पुनर्वास कार्यक्रम

विकल्प 1: तत्काल अपग्रेड, विम

# Ubuntu/Debian
sudo apt update
sudo apt install vim

# CentOS/RHEL
sudo yum update vim

# macOS
brew update
brew upgrade vim

# 验证版本
vim --version

सुनिश्चित करें कि संस्करण 9.2.0272 से अधिक या बराबर है

विकल्प 2: अस्थायी शमन

# 在 ~/.vimrc 中添加
set nomodeline
set modelines=0

सारांश

Vim CVE-2026-34714 एक उच्च जोखिम शून्य-इंटरएक्टिव RCE पाशहोल, CBSS स्कोर 9.2 है, जिसमें व्यापक प्रभाव होता है। यह लूपहोल एआई-असिस्टेड ऑडिट द्वारा खोजा गया था, जो सुरक्षा अनुसंधान के क्षेत्र में एक प्रमुख सफलता को चिह्नित करता था।

सभी Vim उपयोगकर्ताओं के लिए, तुरंत 9.2.0272 या उससे अधिक में अपग्रेड करना सुरक्षित है।

Vim उपयोगकर्ता नोट: शून्य-इंटरएक्टिव RCE हमले के खिलाफ तुरंत अपग्रेड करें!