Sécurité · 28 octobre 2026
Microsoft publie un correctif de sécurité pour .NET et corrige des failles critiques liées à Brotli
Microsoft a publié un correctif de sécurité pour l'environnement de développement .NET afin de corriger plusieurs vulnérabilités. Ce correctif s'inscrit dans le cadre des mises à jour de sécurité mensuelles d'octobre 2026. Deux nouvelles vulnérabilités ont été résolues, et deux autres, initialement mal corrigées le 13 octobre 2026, ont également été traitées.
La première vulnérabilité, identifiée sous le nom CVE-2026-111497, concerne la bibliothèque Google Brotli, utilisée pour la décompression de données. Il s'agit d'un débordement de tampon dans le traitement de données compressées Brotli. Une donnée compressée manipulée peut permettre la lecture d'informations en mémoire, la déni de service ou l'escalade de privilèges, sans nécessiter d'authentification. Le score CVSSv3.1 attribué à cette faille est de 8,1, et Microsoft l'a classée comme critique.
La faille affecte également l'API Brotli lorsqu'elle est utilisée dans ASP.NET Core ou HttpClient, même si elle est désactivée par défaut. Microsoft a fourni des solutions d'atténuation pour cette vulnérabilité.
Une seconde vulnérabilité, CVE-2026-114148, a été détectée dans les fichiers de distribution Linux d'ASP.NET Core. Elle permet une escalade de privilèges dans un environnement local en raison d'une mauvaise gestion des informations d ownership des fichiers. Son score CVSS est de 7,8, et sa gravité est jugée importante.
Microsoft a également corrigé deux vulnérabilités de exécution de code à distance initialement mal résolues le 13 octobre 2026, soit CVE-2026-70197 et CVE-2026-102870. Ces failles concernaient des scénarios de traitement de données compressées.
Microsoft invite les utilisateurs à appliquer les mises à jour dès que possible. Pour les environnements intégrés à des applications ou des conteneurs, une recompilation et une redistribution sont nécessaires après l'application du correctif.
Des alertes ont été émises concernant des vulnérabilités dans des produits tiers, notamment Nextcloud, Arista VCO, Apache Tomcat, Firefox Android et PHP. Certaines de ces failles ont été exploitées dans la nature, notamment dans le cas d'Arista VCO, où des attaques ont déjà été observées.
Des correctifs ont également été publiés pour Splunk Enterprise, Node.js et divers produits HPE. La vulnérabilité dans Snort 3 et son impact sur les produits Cisco ont également été documentés.