Blazorのデバッガーにコード実行の不備―ランタイムだけでなくパッケージ更新を
開発中のデータを式評価に取り込む処理が対象です。Microsoftが10月25日に修正版の案内を更新。開発端末のNuGet参照まで確認します。
公式案内の改訂日：2026-10-25 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
Microsoftは2026年10月25日、Blazor WebAssemblyのデバッガーに関するCVE-2026-102870の案内を更新しました。BlazorはC#でWeb画面を作る仕組みです。今回の問題では、開発中の式評価をきっかけに開発者の端末でコードを実行されるおそれがあります。
攻撃者が操作した値を、デバッグ中に評価すると成立
対象はMicrosoft.AspNetCore.Components.WebAssembly.Serverと同DevServerに含まれるデバッガーです。アプリ由来の文字列をC#コードに組み込む際の処理が不十分で、攻撃者が操作できる値がコードとして扱われる可能性があります。
開発者が該当データを含む式を評価することが条件です。通常のWeb閲覧だけで全利用者に成立する問題とは異なります。Windows・Linux・macOSが対象で、開発環境だから優先度を下げてよいとはいえません。
10系は10.0.14、11系プレビューは指定されたRC版へ
両パッケージとも10.0.0以上10.0.14未満が対象で、10.0.14で修正されます。11系は11.0.0-preview.1以上11.0.0-rc.3.26522.148未満が対象です。後者の修正版は製品版ではなくRC版なので、利用中の系列と照合してください。
公式の改訂履歴では初回公表は10月13日です。25日の更新は同じCVEについて対象パッケージと修正版を訂正したもので、新たな侵害事件の発表ではありません。
NuGet参照を更新し、開発環境を再起動する
Microsoftはサポート中の最新.NETの導入に加え、該当するパッケージ参照自体の更新を案内しています。共有ランタイムだけの更新では代替できません。更新後はデバッガーと開発環境を再起動します。
当社では、プロジェクトごとの参照と復元済み依存関係を照合し、古い版が残っていないか確認する運用を提案します。中央管理するパッケージ設定も対象にし、再ビルドと通常のデバッグ操作を確認して完了とします。
出典と編集について
Microsoft：Blazorのデバッガーにコード実行の不備：公式アドバイザリ ↗出典の報告と、編集部が提案する点検・対策を分けて記載しています。本記事の点検項目は個別環境の診断結果ではありません。