Microsoft 釋出 .NET 緊急安全更新：四項漏洞已修復

Microsoft 在 2026 年 10 月 25 日釋出了 .NET 的非定期安全更新，這些更新不屬於其常規每月維護計畫。

此次更新解決了 Brotli 解壓縮中的緩衝區溢位漏洞、Linux tarball 所有權不安全問題，以及兩個在 10 月 13 日的安全更新未能完全修復的漏洞。

執行 .NET 應用程式的組織應檢視其部署並套用相應更新。

1. CVE-2026-111497 — Brotli 解碼器緩衝區溢位

.NET 的 Brotli 解壓縮功能存在緩衝區溢位漏洞，可能讓未經授權的攻擊者讀取或破壞程序記憶體，進而造成資訊洩露、服務拒絕或許可權提升。

當應用程式透過 ASP.NET Core 請求解壓縮、HttpClient 自動回應解壓縮或 System.IO.Compression Brotli API 處理不受信任的壓縮資料時，可能會被利用。

自動請求與回應解壓縮預設並未啟用。是否暴露取決於應用程式如何使用受影響的功能。

2. CVE-2026-114148 — Linux Tarball 所有權

受影響的 Linux .NET tarball 中不安全的檔案所有權元資料可能讓本地攻擊者修改檔案並取得提升許可權。

此漏洞範圍取決於 .NET 版本與發行版本：

.NET 8 與 .NET 9： 某些 ASP.NET Core 執行階段與目標封裝 tarball，以及自行編譯的 Linux 發行版，受到影響。
.NET 10 與 .NET 11： 此問題影響自行編譯的 Linux tarball 發行版。

使用受影響安裝方式的組織應取得更新後的檔案並依照 Microsoft 指示修復現有安裝。

3. CVE-2026-70197 — SocketAsyncEventArgs 記憶體破壞

Microsoft 重新發布此通告，因為 10 月 13 日的更新未能完全解決此漏洞。

10 月 25 日的更新為 .NET 8、.NET 9、.NET 10 與 .NET 11 提供了修正的修補程式。已安裝早期更新的組織應確認已升級至新修補版本。

4. CVE-2026-102870 — Blazor WebAssembly 偵錯程式遠端程式碼執行

此漏洞影響 .NET 10 與 .NET 11。Microsoft 在 10 月 25 日的更新中已修正先前的修補程式。

對於受影響的 Blazor 部署，請更新相關的 Microsoft.AspNetCore.Components.WebAssembly.Server 與 Microsoft.AspNetCore.Components.WebAssembly.DevServer 套件參考。僅更新共享執行階段並不會更新這些套件。

已修正版本

請為您的環境安裝相應的版本：

.NET 8： 8.0.33
.NET 9： 9.0.22
.NET 10： 10.0.14
.NET 11： Release Candidate 3

.NET 11 RC2 使用者應升級至 RC3 以取得修復。

.NET Framework 不受本通告中描述的 Brotli 漏洞影響。

組織應採取的措施

更新已安裝的執行階段與 SDK： 部署最新適用版本並重新啟動受影響的應用程式。
重新建置自包含應用程式： 以更新後的執行階段發布，因為更新主機不會取代已捆綁於應用程式的執行階段。
更新容器： 使用已修補的 .NET 容器映像重新建置並重新部署。
檢查 Linux 安裝： 確認是否使用受影響的 tarball 或自行編譯的發行版，並依需要修復現有安裝。
更新 Blazor 套件： 驗證受影響的套件參考並部署已修補版本。
驗證結果：檢查執行環境和套件版本，並確認生產工作負載使用已修正的版本。

以下命令列出安裝於機器上的共享 .NET 執行環境：

dotnet --list-runtimes

此方法無法識別所有與自包含或 NativeAOT 應用程式捆綁的執行環境，因此這些部署需要單獨驗證。

結論

10 月 25 日的版本值得關注，不僅因為 Brotli 漏洞，還因為兩個早期的安全修正需要修正。

組織不應假設安裝 10 月 13 日的更新已足夠。審查受影響的元件，部署適當的已修補版本，並在執行環境、應用程式套件、容器和 Linux 安裝中驗證修復。

目標很簡單：修補受影響的元件並確認修復已在生產環境中生效。