Segurança · 28 de outubro de 2026
Microsoft publica patch obrigatório para correção de várias vulnerabilidades no .NET
A Microsoft publicou uma atualização de segurança obrigatória que corrige múltiplas vulnerabilidades no ambiente de desenvolvimento de aplicativos .NET. A empresa também afirmou que a atualização de outubro anterior ainda não havia corrigido completamente algumas dessas questões.
A companhia lançou a atualização de segurança para as versões .NET 10.NET 9 e .NET 8, publicada na terça-feira, 25 de outubro de 2026. A atualização corrigiu dois novos problemas e dois problemas que haviam sido parcialmente corrigidos na atualização de segurança de outubro.
O CVE-2026-111497 é uma vulnerabilidade de estouro de buffer encontrada na biblioteca fabricada pelo Google responsável pela expansão do formato de compressão Brotli. Ao processar dados de compressão elaborados, informações de memória podem ser lidas sem autenticação, e o risco inclui negação de serviço e escalonamento de privilégios.
O problema afeta tanto o uso direto do Brotli API quanto cenários em que a expansão de dados recebidos externamente está habilitada por padrão, incluindo o recurso de expansão de solicitações do ASP.NET Core e a funcionalidade automática de expansão de respostas do HttpClient.
O sistema de avaliação de vulnerabilidades CVSSv3.1 atribuiu a pontuação base de 8,1 ao CVE-2026-111497. A Microsoft classificou a questão como mais grave entre as quatro categorias disponíveis e a chamou de emergente.
Já o CVE-2026-114148 é uma vulnerabilidade de escalonamento de privilégios local encontrada nas distribuições Linux do ASP.NET Core. O problema está relacionado ao processamento das informações de propriedade nas distribuições Linux. Em um ambiente local, o risco inclui a modificação de arquivos e o escalonamento de privilégios. A Microsoft classificou a questão como importante, com CVSS base de 7,8.
A Microsoft também refez a correção de três vulnerabilidades de execução remota de código que haviam tido correções incompletas na atualização de segurança de 13 de outubro de 2026: CVE-2026-70197 e CVE-2026-102870.
A empresa pede que os usuários atualizem seus sistemas o mais rápido possível. Para ambientes de execução integrados à aplicação ou contêineres, é necessário rebuildar a aplicação com o ambiente atualizado e redistribuir.
A empresa alerta sobre vulnerabilidades no Nextcloud integrado e no Arista VCO, mas essas questões não são objeto deste relato.