Seguridad · 28 de octubre de 2026
Microsoft publica parche de emergencia para vulnerabilidades críticas en .NET y Brotli
Microsoft ha publicado una actualización de seguridad fuera del ciclo habitual para abordar múltiples vulnerabilidades en su entorno de desarrollo de aplicaciones .NET. Esta medida correctiva también incluye la resolución definitiva de fallos que no fueron completamente mitigados en la actualización mensual de octubre.
La compañía lanzó los parches el 25 de octubre de 2026, hora local, dirigidos a las versiones diez, nueve y ocho de .NET. El anuncio confirma la corrección de dos nuevas vulnerabilidades identificadas recientemente. Además, se ha completado la reparación de dos incidencias adicionales que permanecían sin solución total tras la actualización de seguridad del 13 de octubre.
Una de las amenazas principales, identificada como CVE-2026-111497, afecta a la biblioteca de Google para el procesamiento de descompresión del formato de datos Brotli. Se trata de un desbordamiento de búfer que permite a los atacantes leer información de la memoria, denegar el servicio o elevar privilegios sin necesidad de autenticación previa. Esto ocurre al procesar datos comprimidos manipulados. El riesgo es particularmente alto cuando se utiliza la API de Brotli para descomprimir datos recibidos desde fuentes externas. También se ven afectados los sistemas que han activado la función de descompresión de solicitudes en ASP.NET Core o la descompresión automática de respuestas en HttpClient, características que están desactivadas por defecto pero que pueden habilitarse.
Microsoft ha clasificado esta vulnerabilidad con la máxima prioridad, etiquetándola como crítica en su escala de cuatro niveles. La puntuación base en el sistema de evaluación común de vulnerabilidades versión tres punto uno es de ocho punto uno. La empresa ha proporcionado guías para mitigar el riesgo, incluyendo la opción de excluir específicamente el componente Brotli.
Otro fallo significativo, catalogado como CVE-2026-114148, es una vulnerabilidad de elevación de privilegios encontrada en los archivos de distribución para Linux de productos como ASP.NET Core. El problema surge del manejo de la información de propiedad dentro de estos archivos. En entornos locales, esto podría permitir la modificación de archivos o la escalada de permisos. Su nivel de importancia se define como importante, con una puntuación base de siete punto ocho.
La actualización también repara dos vulnerabilidades de ejecución remota de código, identificadas como CVE-2026-70197 y CVE-2026-102870, que habían sido abordadas de manera insuficiente en la actualización mensual anterior. Microsoft insta a los usuarios a aplicar estas actualizaciones de inmediato. Para aquellos que integran el entorno de ejecución en sus aplicaciones o utilizan entornos de contenedores, es necesario volver a compilar las aplicaciones con el entorno actualizado y redistribuirlas para garantizar la protección completa.