Microsoft пусна извънредни обновления за сигурност за .NET с цел отстраняване на препълване на буфера в Brotli и опасни настройки на собствеността в архивните файлове за дистрибуции на Linux.
Публикувано на 25 октомври 2026 г., изданието обхваща .NET 8, .NET 9, .NET 10 и .NET 11 Release Candidate 3. Microsoft настоятелно призовава потребителите да обновят възможно най-скоро.
Официалното съобщение на Microsoft също така потвърждава, че тези актуализации завършват отстраняването на две уязвимости, които не бяха напълно решени в изданието от 13 октомври. Поради това корекциите за сигурност са от значение дори за екипи, които вече са инсталирали по-ранните обновления за .NET от този месец.
Проследявана като CVE-2026-111497, първата уязвимост засяга използването на декомпресия на Brotli в .NET на всички платформи. Препълването на буфера може да позволи на неавтентифициран атакуващ да прочете или повреди паметта на процеса. Възможните последствия включват изтичане на данни, сривове на приложения или повишаване на привилегии.
Приложенията могат да бъдат изложени на риск, когато обработват компресирани с Brotli данни чрез декомпресия на заявки в ASP.NET Core, автоматична декомпресия на отговори в HttpClient или Brotli API интерфейсите в System.IO.Compression.
Microsoft издава спешни обновления за Brotli и .NET
Microsoft отбелязва, че декомпресията на заявки и автоматичната декомпресия на отговори не са активирани по подразбиране. По-старата платформа .NET Framework не е засегната.
Това прави конфигурацията на приложението важна при оценката на риска. Екипите трябва да идентифицират услугите, които действително обработват съдържание с Brotli, вместо да предполагат, че всяко .NET приложение носи същия риск.
Cybersecuritynews по-рано отрази отделна уязвимост за отказ на услуга в .NET, подчертавайки друг случай, при който достъпността на приложенията беше застрашена.
Втората уязвимост, CVE-2026-114148, се отнася до опасни метаданни за собственост в засегнатите .NET tarball архиви за Linux. Тези архиви съдържат информация за собствеността на пакетираните файлове.
Според Microsoft дефектът може да позволи на локален атакуващ да модифицира файлове и да придобие по-високи привилегии. За разлика от проблема с Brotli, тази уязвимост засяга конкретно Linux.
За .NET 10 и .NET 11 проблемът засяга само архивите за компилиране от изходен код (source-build). За .NET 8 и .NET 9 той засяга и инсталациите на ASP.NET Core, получени чрез архиви на ASP.NET Core. Потребителите от тази втора група се нуждаят от обновени архиви, дори когато не компилират .NET от изходен код.
Изданието завършва и отстраняването на уязвимостите CVE-2026-70197, свързана с повреждане на паметта в SocketAsyncEventArgs, и CVE-2026-102870, свързана с дебъгера на Blazor WebAssembly. Те засягат съответно версиите от .NET 8 до 11 и от .NET 10 до 11.
Коригираните издания са .NET 8.0.33, .NET 9.0.22, .NET 10.0.14 и .NET 11 Release Candidate 3. Потребителите, работещи с .NET 11 RC2, трябва да преминат към RC3. Изданието следва по-ранни извънредни поддръжки, включително актуализацията за сигурност .NET 10.0.7 на Microsoft.
Приложенията, зависими от рамката (framework-dependent), изискват обновена среда за изпълнение и рестартиране на приложението. Самостоятелните приложения (self-contained) трябва да бъдат компилирани и публикувани отново, тъй като инсталирането на по-нова хост среда за изпълнение не заменя вградената в тях среда. Потребителите на контейнери трябва да ги преизградят и разгърнат отново, използвайки обновени .NET изображения.
Потребителите, компилиращи от изходен код, трябва да се снабдят с обновените артефакти и да прекомпилират пакетите. Администраторите могат да проверят инсталираните среди за изпълнение с dotnet –list-runtimes, но трябва да проверят самостоятелните приложения и контейнерите поотделно. Документацията на Microsoft за внедряване на .NET разяснява тези разлики при разгръщане и помага на екипите да изберат правилния път за обновяване на всяко приложение.