보안 · 2026년 10월 28일
마이크로소프트, 닷넷 프레임워크 긴급 보안 업데이트 배포
마이크로소프트는 애플리케이션 개발 환경 닷넷에 존재하는 여러 보안 취약점을 해결하기 위해 긴급 보안 업데이트를 공개했다. 이번 업데이트는 10월 정기 보안 패치에서 완전히 수정되지 않았던 취약점들을 추가로 보완하는 내용을 포함하고 있다.
해당 기업은 현지 시각 2026년 10월 25일에 닷넷 10, 9, 8 버전을 대상으로 한 보안 업데이트를 발표했다. 이 패치는 새로 발견된 두 건의 취약점을 수정하는 동시에, 10월 13일 보안 업데이트에서 해결이 불완전했던 두 건의 문제를 다시 다룬다.
새로 수정된 취약점 중 하나인 CVE-2026-111497은 구글이 개발한 데이터 압축 형식 브로틀리(Brotli)의 전개 처리 라이브러리에 존재하는 버퍼 오버플로 문제이다. 조작된 압축 데이터를 처리할 경우 인증 없이 메모리 내 정보를 읽거나 서비스 거부, 권한 상승 등이 발생할 수 있다. 이 취약점은 브로틀리 API를 사용해 외부에서 받은 압축 데이터를 전개할 때 영향을 받는다. 또한 기본 설정에서는 비활성화되어 있지만, ASP.NET Core의 요청 전개 기능이나 HttpClient의 응답 자동 전개 기능을 활성화한 경우에도 영향을 받을 수 있다.
이 취약점의 CVSS v3.1 기본 점수는 8.1이며, 마이크로소프트는 중요도를 4단계 중 가장 높은 긴급(Critical)으로 분류했다. 브로틀리(Brotli)를 제외하는 회피 방안도 안내하고 있다. 다른 취약점인 CVE-2026-114148은 ASP.NET Core 등의 리눅스용 배포 파일에서 확인된 권한 상승 문제이다. 리눅스용 배포 파일에 포함된 소유권 정보 처리에 기인하며, 로컬 환경에서 파일 변조나 권한 상승으로 이어질 수 있다. 이 취약점의 중요도는 중요(Important)이며 CVSS 기본 값은 7.8이다.
마이크로소프트는 10월 13일 정기 업데이트에서 수정이 불완전했던 원격 코드 실행 취약점 CVE-2026-70197과 CVE-2026-102870에 대해서도 재수정을 실시했다. 이용자들은 업데이트를 신속하게 적용할 것을 권고받았다. 실행 환경을 애플리케이션에 내장하여 배포하거나 컨테이너 환경을 사용하는 경우, 업데이트된 환경에서 애플리케이션을 다시 빌드하여 재배포해야 한다.