.NET : Microsoft publie des correctifs hors cycle et complète deux corrections du 13 octobre
Le 25 octobre 2026, Microsoft a diffusé des mises à jour de sécurité hors cycle pour .NET 8.0.33, 9.0.22, 10.0.14 et 11 RC3. Elles complètent deux corrections annoncées le 13 octobre : CVE-2026-70197, corruption mémoire des sockets sous Windows, et CVE-2026-102870, exécution de code lors du débogage Blazor WebAssembly. Leurs scores CVSS 3.1 sont respectivement 8,1 et 8,8/10.
CVE-2026-111497 touche aussi le décodeur Brotli intégré à .NET (CVSS 3.1 : 8,1/10). L’exposition exige le traitement de données Brotli non fiables ; la décompression automatique ASP.NET Core et HttpClient n’est pas activée par défaut. JFrog a reproduit un plantage natif en laboratoire, sans établir une campagne d’exploitation. .NET Framework n’est pas concerné.
CVE-2026-114148 (CVSS 3.1 : 7,8/10) permet une élévation locale de privilèges liée aux propriétaires des fichiers d’archives Linux : certaines distributions ASP.NET Core 8/9 et les archives issues de source-build sont concernées.
Installer les versions corrigées puis redémarrer les applications ; reconstruire et redéployer applications autonomes et conteneurs. Les paquets Blazor Server/DevServer doivent être actualisés séparément. Pour les archives Linux concernées, Microsoft exige une installation propre avec propriétaires contrôlés. Les sources consultées n’attestent pas d’exploitation active.
Mots-clés suggérés : .NET, Microsoft, Brotli, correctifs.
Sources :
Microsoft, annonce officielle du 25 octobre 2026
Microsoft, avis Brotli du 25 octobre 2026
