Microsoftは2026年10月25日、Brotli展開処理の脆弱性を修正する定例外のセキュリティ更新プログラムを公開しました。この脆弱性を悪用されると、認証されていない攻撃者がプロセスメモリの読み取りや破損を行う可能性があります。
緊急リリースの対象は、.NET 8、.NET 9、.NET 10、および.NET 11 Release Candidate 3です。Microsoftはユーザーに対し、速やかに更新するよう呼びかけています。
この脆弱性はCVE-2026-111497として追跡されており、.NETがBrotli展開アルゴリズムを利用する部分に存在するバッファオーバーフローです。Microsoftによると、悪用された場合、情報漏えい、サービス拒否（DoS）、権限昇格につながる可能性があります。
影響はすべてのプラットフォームに及びますが、アプリケーションが実際に危険にさらされるかどうかは、脆弱な展開機能がBrotli圧縮データを処理するかどうかによって異なります。
Microsoftは、この脆弱性にさらされる可能性があるアプリケーション上の経路として、次の3つを挙げています。ASP.NET Coreのリクエスト展開、HttpClientの自動レスポンス展開、そしてSystem.IO.CompressionのBrotli APIです。
これらの経路では、アプリケーションのリクエスト処理、外向きのHTTP処理、またはBrotli機能を直接利用するコードの中で展開処理が行われます。
ただし、ASP.NET Coreのリクエスト展開とHttpClientの自動レスポンス展開は、いずれも既定では有効になっていません。そのため、これらが影響を受ける経路に含まれているからといって、ASP.NET CoreやHttpClientを使うすべてのアプリケーションがこれらの機能を通じて危険にさらされるわけではありません。
Microsoftは、.NET Frameworkは影響を受けないと明言しています。リリース告知には、影響を受ける処理経路以外の悪用の前提条件や、実際に確認された攻撃キャンペーンについての記載はありません。
告知が示す影響は、プロセスメモリへのアクセスと破損にとどまります。この脆弱性をリモートコード実行とは明示していません。
今回のリリースでは、Linuxの脆弱性であるCVE-2026-114148も修正されました。.NETのtarballに含まれる安全でない所有権メタデータに関する問題で、ローカルの攻撃者が対象ファイルを改変し、権限を昇格できる可能性があります。影響を受ける配布物の範囲は、.NETのリリースブランチによって異なります。
.NET 10と.NET 11では、所有権の問題はソースビルド用tarballのみが対象です。一方、.NET 8と.NET 9では、これに加えて、ASP.NET Core tarball経由でインストールされたASP.NET Coreディストリビューションも影響を受けます。.NETをソースからビルドしないユーザーが管理するインストールも含まれます。
Microsoftはまた、SocketAsyncEventArgsのメモリ破損に関するCVE-2026-70197と、Blazor WebAssemblyデバッガーに関するCVE-2026-102870のアドバイザリーも再公開しました。
10月13日の更新プログラムでは、これらの問題は完全には解決されていませんでした。前者は.NET 8から11まで、後者は.NET 10と11が影響を受けます。修正済みのリリースは、.NET 8.0.33、.NET 9.0.22、.NET 10.0.14、.NET 11 Release Candidate 3です。.NET 11 RC2を使用している場合は、修正を適用するためにRC3へ移行する必要があります。
フレームワーク依存アプリケーションでは、更新後のランタイムをインストールしたうえで、アプリケーションを再起動する必要があります。自己完結型アプリケーションの場合は、ホスト側のランタイムを更新しても同梱ランタイムは置き換わらないため、再ビルドして再公開しなければなりません。
ソースビルドを利用しているユーザーは、更新されたアーティファクトを入手してパッケージを再ビルドする必要があります。.NET 8と9でASP.NET Core tarballを利用している場合は、更新されたランタイムtarballから更新してください。
管理者はdotnet --list-runtimesでインストール済みのランタイムを確認できます。ただし、自己完結型アプリケーションとコンテナーは独自のランタイムを持っており、ホストにインストールされたランタイムの一覧だけでは検証できないため、別途確認が必要です。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/microsoft-emergency-net-security-updates/
