Microsoft Brotli уязвимость: компания выпустила экстренные обновления .NET 25 октября 2026

25 октября 2026 года Microsoft выпустила внеочередные обновления безопасности для .NET 8.0.33, 9.0.22, 10.0.14 и .NET 11 Release Candidate 3. Основная причина — устранение уязвимости CVE-2026-111497 в реализации алгоритма Brotli.

Microsoft Brotli уязвимость: технические детали

CVE-2026-111497 представляет собой переполнение буфера при декомпрессии данных Brotli. Атакующий без аутентификации может передать специально сформированные данные и добиться чтения или повреждения памяти процесса. Возможные последствия включают раскрытие информации, отказ в обслуживании или повышение привилегий. Оценка CVSS 3.1 составляет 8,1 — уровень High. Уязвимость затрагивает все платформы: Windows, macOS и Linux. .NET Framework не подвержен проблеме.

Риск возникает только при явном включении декомпрессии запросов в ASP.NET Core, автоматической декомпрессии ответов HttpClient или прямом использовании API System.IO.Compression.Brotli. По умолчанию эти функции отключены. Уязвимость происходит из библиотеки Brotli Google версий 1.0.3–1.2.0; исправления уже выпущены в версиях 1.0.10, 1.1.1 и 1.2.1. Аналогичные патчи вышли для Node.js и ряда Python-пакетов.

Microsoft оценивает вероятность эксплуатации как «более вероятную». На момент публикации обновлений случаи активной эксплуатации в реальных атаках не зафиксированы, хотя уязвимость уже публично раскрыта.

Затронутые версии и порядок обновления

Обновления выпущены для .NET 8.0.33, .NET 9.0.22, .NET 10.0.14 и .NET 11 RC3. Приложения, зависящие от рантайма, требуют установки обновлённого runtime и перезапуска. Самодостаточные приложения необходимо пересобрать и заново опубликовать. Для контейнеров требуется обновление образов.

Одновременно исправлены CVE-2026-114148 (небезопасные метаданные владения в Linux-тарболлах .NET) и завершены исправления CVE-2026-70197 (повреждение памяти SocketAsyncEventArgs) и CVE-2026-102870 (отладчик Blazor WebAssembly). Эти уязвимости были частично закрыты в обычном обновлении 13 октября 2026 года.

Администраторам рекомендуется немедленно проверить установленные версии командой dotnet --list-runtimes и установить патчи на всех системах, где используется декомпрессия Brotli. Дальнейшие рекомендации Microsoft планирует публиковать по мере появления новых данных.

Дополнительные исправления и контекст

Выпуск обновлений стал вторым внеочередным патчем .NET в октябре 2026 года. Первое обновление вышло 13 октября в рамках Patch Tuesday. Компания подчёркивает необходимость скорейшего применения исправлений из-за высокого уровня риска.

Российские источники, включая Comss.ru и Start Debugging, подтвердили идентичный набор исправлений и версий без региональных отличий. Пользователям .NET в России доступны те же пакеты через стандартные каналы распространения Microsoft.