Microsoftは.NET 11を公開しました。標準期間サポート（STS）のリリースで、サポート期間は2年間です。長期サポート（LTS）の選択肢は引き続き.NET 10となります。今回のリリースには、C# 15、ASP.NET Core、.NET MAUI、Windows開発に関する更新が含まれます。変更点のうちいくつかは、ソフトウェアサプライチェーンの完全性、認証の扱い、プラットフォームのライフサイクルに影響します。
.NET 8と.NET 9がサポート終了に
防御側にとって最も緊急性の高い事項は、新機能ではありません。.NET 8と.NET 9は、.NET 11が公開された2026年11月10日にサポートが終了しており、今後は修正が提供されません。Microsoftは、.NET 11への移行を推奨しています。より長いサポート期間が必要な場合は、.NET 10への移行も選択肢です。.NET 11のリリース候補版を使用しているチームには、正式版への移行が呼びかけられています。
サプライチェーン対策
NuGetのソース構成に、パッケージの最小公開経過期間を指定する新しい設定が加わりました。この設定を使うと、新たに公開されたパッケージバージョンが選択可能になるまで、一定期間待機させることができます。事実上の「クールダウン」期間として機能し、悪意のあるパッケージや侵害されたパッケージのリリースがビルドに取り込まれる事態を防ぐのに役立ちます。Microsoftは、この機能は脆弱性チェックや依存関係のレビューを補完するものであり、代替するものではないと説明しています。
コンテナーの公開では、SOURCE_DATE_EPOCHによって再現可能なイメージダイジェストを生成できるようになりました。これにより、イメージが特定のソースから生成されるべきものと一致しているかを確認できます。System.IO.Compressionでは、ZIPエントリの読み取り時にCRC32検証が行われるようになり、Zstandard圧縮も新たにサポートされました。
認証とアプリケーションセキュリティ
SignalR接続では、再接続せずに認証を更新できるようになりました。Blazor Interactive Serverコンポーネントは更新後のIDを受け取り、クレームの変更に対応できます。これは、そのままでは古い資格情報で動作し続けかねない長時間接続に有効です。非同期検証にも対応し、バリデーターがスレッドをブロックせずに、データベース参照やリモート呼び出しを待機できます。さらに、Blazor Interactive Serverアプリでは、一定の遅延後に非アクティブなサーキットを一時停止できます。これにより、アイドル状態のユーザーが占有していたサーバーメモリとSignalR接続を解放できます。この機能には追加パッケージと明示的な構成が必要なため、アップグレードしただけでサーキットの動作が変わることはありません。
拡張されたProcess APIでは、子プロセスが継承するハンドルの制御、一時停止状態でのプロセス起動、プロセスへのシグナル送信が可能になりました。
.NETチームは次のように述べています。「ライブラリでは、数値型、DNS解決、暗号化、トレース構成も拡充されました」
診断とメモリ安全性
プロセス内クラッシュレポートのログ記録では、プロセスが終了する前に、マネージドスタックトレース、モジュール情報、ランタイムの状態を取得できるようになりました。従来はモバイルプラットフォームでのみ利用できましたが、今回LinuxとmacOSにも対応し、インシデント調査に役立つ可能性があります。Microsoftが別途進めているC#のメモリ安全性に関する取り組みは、まだプレビュー段階です。
AIとエージェント型ツール
SDKには、公式のMCP C# SDKをベースにしたMCPサーバーテンプレートが追加されました。新しいBlazor AIコンポーネントは、ストリーミングチャット、ツールのレンダリング、エージェントによる操作の承認フローに対応しています。これらのコンポーネントは試験的なもので、.NET 11の期間を通じてプレリリースのままとなります。AG-UIホスティング統合もプレリリースです。組織はこれらを本番環境向けの機能ではないものとして扱うべきです。
翻訳元: https://www.helpnetsecurity.com/2026/11/12/net-11-security-changes/
