Microsoftは10月25日、.NET 8、.NET 9、.NET 10と.NET 11 Release Candidate 3向けに定例外のセキュリティ更新を公開した。バージョンは.NET 8が8.0.33、.NET 9が9.0.22、.NET 10が10.0.14。RC2を使っている場合はRC3へ上げる。
中心はBrotli展開のバッファオーバーフローCVE-2026-111497だ。認証のない攻撃者がプロセスメモリを読んだり壊したりでき、情報漏えい、サービス停止、権限昇格につながる可能性がある。経路は、ASP.NET Coreのリクエスト展開、HttpClientの応答自動展開、System.IO.CompressionのBrotli APIで、前の二つは既定では有効にならない。.NET Frameworkは対象外だ。
同じ更新には、Linux向けtarballの所有者情報が安全でないCVE-2026-114148も含む。ローカルの攻撃者がファイルを改変し、権限を上げられる。.NET 10と11ではソースビルド用tarballが対象で、.NET 8と9では、ソースからビルドしない利用者向けのASP.NET Core配布物も対象になる。
10月13日の更新では不十分だったとして、SocketAsyncEventArgsのメモリ破壊CVE-2026-70197（.NET 8、9、10、11）と、Blazor WebAssemblyデバッガーのCVE-2026-102870（.NET 10と11）も再公開した。フレームワーク依存のアプリは新しいランタイムを入れて再起動する。自己完結型とコンテナは同梱ランタイムごと作り直す。dotnet --list-runtimesでは、アプリに同梱したランタイムは見えない。