25 октября 2026 года Microsoft выпустила внеплановые обновления безопасности .NET. Исправления вышли для веток 8, 9 и 10, а также предварительной версии .NET 11. Компания рекомендует обновить затронутые установки как можно скорее. Это отдельный выпуск вне обычного ежемесячного графика обслуживания, а не новая основная версия платформы.
Сведения проверены 26 октября по официальному блогу .NET, странице загрузки и сообщениям команды в GitHub. Обновления относятся к .NET и ASP.NET Core; Microsoft отдельно указывает, что .NET Framework этой проблемой не затронут. Сам факт выпуска исправлений не означает, что все приложения на платформе подверглись атаке.
Что исправлено в выпуске 25 октября
Одна из причин внепланового обновления — CVE-2026-111497 в обработке данных, сжатых алгоритмом Brotli. По описанию Microsoft, ошибка может привести к чтению или повреждению памяти процесса. Возможные последствия включают раскрытие информации, отказ в обслуживании и повышение привилегий. В бюллетене GitHub проблема отмечена как High; перечислены затронутые пакеты и границы исправленных версий.
Для оценки применимости важен путь обработки данных в конкретном приложении. Microsoft называет распаковку запросов ASP.NET Core, автоматическую распаковку ответов HttpClient и Brotli API из System.IO.Compression. Первые два механизма не включены по умолчанию. Поэтому наличие .NET на компьютере само по себе не описывает все условия возникновения ошибки.
Второе исправление, CVE-2026-114148, касается метаданных владельца файлов в архивах .NET для Linux. Согласно анонсу, небезопасные данные о владельце могли дать локальному атакующему возможность изменить файлы и повысить привилегии. Для .NET 10 и 11 речь идёт об архивах source-build; в ветках 8 и 9 затронуты также поставки ASP.NET Core через tarball, даже без самостоятельной сборки платформы.
Почему октябрьское обновление пришлось дополнить
Команда повторно опубликовала сведения о CVE-2026-70197 и CVE-2026-102870: выпуск от 13 октября не полностью закрыл эти проблемы. Первый идентификатор связан с повреждением памяти при использовании SocketAsyncEventArgs, второй — с отладчиком Blazor WebAssembly. Новые пакеты содержат недостающие исправления, сообщает Microsoft.
Отдельный бюллетень CVE-2026-70197 уточняет условия для Windows: проблема возникает при повторном использовании экземпляра SocketAsyncEventArgs между датаграммными сокетами IPv4 и IPv6. В документе указаны высокий уровень опасности и оценка CVSS 3.1 в 8,1 балла. Эта конкретная ошибка не должна автоматически приписываться всем сетевым операциям приложения или всем операционным системам.
Какие версии доступны
- .NET 8 — версия 8.0.33.
- .NET 9 — версия 9.0.22.
- .NET 10 — версия 10.0.14.
- .NET 11 — Release Candidate 3; пользователям RC2 предложено перейти на RC3.
На странице .NET 10 дата выпуска 10.0.14 обозначена как 25 октября 2026 года. Там доступны SDK 10.0.403 и 10.0.114, а также Runtime, ASP.NET Core Runtime и Desktop Runtime. Выбор пакета зависит от назначения установки: SDK нужен для разработки и сборки, среды выполнения — для запуска соответствующих приложений. Предварительный .NET 11 RC3 не следует путать со стабильным выпуском .NET 10.
Что проверить разработчикам и администраторам
Microsoft различает несколько способов развёртывания. Для приложений, использующих установленную на машине среду выполнения, нужно обновить соответствующий runtime и перезапустить приложение. Автономные поставки self-contained содержат собственную среду: обновление хоста её не заменяет, поэтому требуется пересборка и повторная публикация. Контейнеры также следует пересобрать и развернуть с обновлёнными образами.
В обсуждении выпуска команда отмечает публикацию установщиков, бинарных файлов и контейнерных образов Linux и Windows. Пустые ячейки таблицы статуса означают, что публикация ещё не проверена, а не подтверждают её завершение. Поэтому наличие пакета стоит сверять с используемым каналом доставки. Проверка версий и способа развёртывания позволяет понять, получило ли исправление само приложение, а не только рабочая станция разработчика.
