.NETの定例外更新、Windows通信に加えBrotli・開発環境も確認

10月13日に更新済みでも、追加修正を確認

Microsoftは2026年10月25日、.NETの脆弱性CVE-2026-70197に対する定例外の修正を公表しました。10月13日に告知済みでしたが、前回の更新には修正が含まれていなかったと説明しています。先日の更新を適用済みでも、今回の修正版の確認が必要です。

対象はWindows上のSystem.Net.Socketsです。IPv4とIPv6のデータグラムソケット間でSocketAsyncEventArgsを再利用すると、内部に保存されたアドレス用バッファが小さいまま残る場合があります。ReceiveFromAsyncの処理で、認証を必要としない範囲外書き込みが起こり、コード実行につながるおそれがあります。

修正版ランタイムは8.0.33、9.0.22、10.0.14と、11系の11.0.0-rc.3.26522.148です。公式告知は影響するWindows向けパッケージを列挙しており、.NETを利用する全OS・全機能の問題としては扱っていません。

Brotliは外部データを展開する設定が条件

CVE-2026-111497はBrotli圧縮データの展開処理の不備です。全OSが対象ですが、ASP.NET CoreやHttpClientの既定設定で自動的に展開するわけではありません。Brotli展開を有効にした設定や、BrotliStreamなどへ信頼できない入力を渡すコードを確認します。

公式の暫定策は、修正まで攻撃者が制御するBrotliデータを展開しないことです。未使用の機能を回避策のために有効化しないでください。編集部では、設定変更時に通常のAPI通信をテストし、修正版で再ビルド・再配布したアプリの版も記録することを勧めます。

BlazorとLinuxはランタイム更新以外の作業も必要

Blazor WebAssemblyのデバッグ機能では、攻撃者の影響する値を含む式の評価が、開発者の端末でコード実行につながるCVE-2026-102870を修正しています。対象のMicrosoft.AspNetCore.Components.WebAssembly.Server／DevServerは10系を10.0.14、11系プレビューを11.0.0-rc.3.26522.148へ更新し、開発環境とデバッガーを再起動します。共有ランタイムの更新だけでは代替できません。

LinuxのCVE-2026-114148は、特定のtarballから展開したファイルの所有者に関わる問題です。Microsoft配布の.NET 8／9のASP.NET Core runtime・targeting-packと、source-buildのアーカイブを区別します。該当するインストールは公式手順でクリーンに置き換え、ビルド用アーカイブは入力と展開先を作り直して所有者を確認します。.NETの版だけで判断せず、配布物と展開方法を特定してください。

開発・運用担当者は該当ランタイムまたはSDKを更新し、アプリを再起動してください。ランタイムを同梱する自己完結型アプリは、サーバー側の.NETを更新するだけでは足りず、修正版での再ビルドと再配布が必要です。Visual Studio経由でSDKを導入した場合も、同製品の更新を確認します。