Vim 높은 위험 RCE 구멍 CVE-2026-34714 : AI Dig-in, Zero-interactive, 코드 시행

4 월 2026에서 Vim 편집기는 높은 리스크 원격 코드 구현 갭을 노출 (CVE-2026-34714, CVSS 9.2). 이 루프홀은 Modrine의 악성 탭 패널 구성을 구현하여 AI 지원 감사를 사용하여 연구원에 의해 발견되었다 : 사용자는 Vim을 사용하여 추가 작업없이 백 스테이지에서 모든 시스템 명령을 자동으로 트리거하고 실행 할 수 있습니다. 현재 POC는 오픈, 광범위하게, 모든 Vim 사용자를 즉시 업그레이드하십시오!

격차의 개요

제품정보	이름 *
비밀번호	전화 번호 : +86 592 0571-85586753
뚱 베어	높은 위험 (CVSS 9.2)
충격 소프트웨어	심은 9.2.0272 이하 입니다
구멍 유형	원격 코드 실행 (RCE)
방법 찾기	AI 지원 감사
열심히 사용	낮은 (POC 출판)

홀 이론

공격 방법: 모형 + Tabpanel

이 루프홀은 Vim의 Tabpanel 기능에 존재하며, assailant는 %{expr} 표현식을 사용하여 반복을 주입하고 문서의 머리에서 Modeline (모델 라인)의 악성 구성을 삽입하여 코드 실행을 달성합니다.

공격 순서:

assailant는 악성 모딘을 포함하는 특수 파일을 만들었습니다.
Vim을 사용하여 사용자와 파일 열기
Vim 방아쇠 동안 parsing Modeline
맛있는 표현은 자동으로 backstage를 실행
공격자는 시스템에 액세스해야합니다.

Zero 대화 형 공격.

가장 위험한 것은, 이것은 0-interactive 공격입니다:

사용자는 어떤 명령을 실행할 필요가 없습니다.
트리거에 파일을 엽니다.
공격은 자기 executed backstage입니다.
사용자 이름

충격의 범위

이 루프홀은 다음을 포함한 모든 사전 Vim 9.2.0272 버전에 영향을줍니다.

Linux 시스템의 기본적으로 설치된 Vim
MacOS의 자신의 Vim
윈도우 Vim
Neovim (부분 버전)
IDE-integrated Vim 모드

AI, 구멍 dig.

이 루프홀은 AI 보조 감사를 사용하여 연구원에 의해 발견되었다, 루프홀의 영역에서 주요 돌파를 표시 :

자동화 코드 감사 : AI는 Vim 소스 코드를 분석하고 Tabpanel 기능의 보안 부족을 식별
홀 모드 인식 : AI는 % {expr} 표현 주사의 잠재적 위험을 식별
POC Auto Generate : AI Auxiliary Gap 활용 코드 생성

재활 프로그램

선택권 1: 즉시 향상, Vim

# Ubuntu/Debian
sudo apt update
sudo apt install vim

# CentOS/RHEL
sudo yum update vim

# macOS
brew update
brew upgrade vim

# 验证版本
vim --version

버전이 9.2.0272보다 크거나 같음을 보장합니다.

옵션 2 : 임시 완화

# 在 ~/.vimrc 中添加
set nomodeline
set modelines=0

제품정보

Vim CVE-2026-34714는 넓은 범위 충격과 더불어 높은risk 0-interactive RCE 루프홀, CBSS 점수 9.2입니다. 이 루프홀은 AI 보조 감사에 의해 발견되었다, 보안 연구 영역에서 주요 돌파를 표시.

모든 Vim 사용자를 위해, 그것은 9.2.0272 또는 더 많은 것에 즉시 향상에 안전합니다.

Vim 사용자 참고 : Zero-interactive RCE 공격에 대해 즉시 업그레이드하십시오!