Microsoftは米国時間2026年10月25日、.NETの臨時セキュリティ更新を公開しました。Brotli展開処理のCVE-2026-111497と、Linux向け配布物の問題、10月13日に修正しきれなかった問題に対応しています。
対象は.NET 8・9・10と.NET 11 RCで、Brotliの脆弱性はPowerShell 7とVisual Studioにも影響します。10月13日の更新を適用済みの環境も再更新が必要で、ランタイム同梱アプリやコンテナーは再ビルドします。
Brotli展開の脆弱性、Microsoftの評価はCVSS 8.1
Microsoftによると、細工されたBrotli圧縮データにより、認証されていない攻撃者がプロセスのメモリーを読み取ったり破壊したりでき、情報漏えい、サービス停止、権限昇格につながるおそれがあります。
ASP.NET Coreのリクエスト展開とHttpClientのHTTP応答自動展開は既定で無効です。これらを有効にしたアプリや、System.IO.CompressionのBrotli APIで圧縮データを展開するアプリが影響を受ける可能性があります。CVE-2026-111497について、.NET Frameworkは影響を受けません。
Microsoftの評価は深刻度「緊急」、CVSS v3.1の基本値8.1です。情報は一般公開済みで、悪用は確認していないとしています。
.NETの修正版と、アプリへの反映
| 系列 | ランタイム修正版 | SDK修正版 |
|---|---|---|
| .NET 8 | 8.0.33 | 8.0.427 |
| .NET 9 | 9.0.22 | 9.0.320 |
| .NET 10 | 10.0.14 | 10.0.403 |
| .NET 11 RC | RC3 | 11.0.100-rc.3.26522.148 |
配布形態に応じて、次の作業が必要です。
- ホストのランタイムを使うアプリ: 対応するランタイムを更新し、アプリを再起動
- ランタイム同梱のアプリ: 更新版で再ビルドし、再配布
- コンテナー: 更新された.NETイメージで再ビルド・再デプロイ
ホストのランタイムはdotnet --list-runtimesで確認できます。.NET 8・9は11月10日にサポート終了を迎えるため、今回の修正とあわせて.NET 10などへの移行も進めてください。
PowerShellとVisual Studioにも更新
MSRCはPowerShell 7とVisual StudioもBrotliの影響製品に挙げています。PowerShellの修正版は7.4.22・7.5.13・7.6.9です。PowerShellの公式告知は、Invoke-WebRequestやInvoke-RestMethodで、SSLを使わないサイトや自分が管理しないサイトへアクセスする場合を挙げ、PowerShell本体の更新を案内しています。
Visual Studioも製品別の更新情報を確認してください。2019の16.11系列は16.11.61、2022の17.14系列は17.14.43など、系列別に修正版が用意されています。
Linux用tarballと、以前の修正が不完全だった2件
CVE-2026-114148は、Linux用tarball内のファイルの所有者設定の不備です。ローカルの攻撃者がファイルを改ざんし、権限を昇格できるおそれがあります。.NET 8・9はASP.NET Core Runtimeのtarballとsource-build用tarball、.NET 10・11はsource-build用tarballが対象です。該当するRuntimeのtarballは更新版で入れ直し、source-build利用者は更新された成果物で再ビルドしてください。
SocketAsyncEventArgsのメモリー破壊CVE-2026-70197は.NET 8・9・10・11、Blazor WebAssemblyデバッガーのCVE-2026-102870は.NET 10・11で再修正されています。後者は、開発者がデバッグ中に細工されたオブジェクトを評価すると、開発者の権限でコードを実行されるおそれがあります。
Visual Studioはこれら2件でも影響製品に含まれ、Blazor WebAssembly関連のNuGetパッケージはCVE-2026-102870の対象です。開発環境と該当パッケージも、製品別アドバイザリに沿って更新してください。
コメント