.NETに定例外の緊急更新　Brotli解凍の脆弱性など4件を修正

何が発表されたか

Microsoftは2026年10月25日、.NET の定例外（out-of-band）セキュリティ更新を公開した。新規2件と、再リリース2件が含まれる。

CVE-2026-111497：Brotli解凍処理のバッファオーバーフロー（全プラットフォーム）

• 認証されていない攻撃者がプロセスメモリの読み取りや破壊を行える可能性があり、情報漏えい・サービス拒否・権限昇格につながるおそれがある
• 影響を受けるのは、Brotli圧縮データを次のいずれかで処理するアプリケーション
  • ASP.NET Core のリクエスト解凍（request decompression）
  • HttpClient の応答自動解凍（automatic response decompression）
  • System.IO.Compression の Brotli API
• リクエスト解凍・応答自動解凍はいずれも 既定では無効。.NET Framework は影響を受けない

CVE-2026-114148：Linux向け.NET tarball の所有者メタデータ（Linuxのみ）

• 安全でない所有者メタデータにより、ローカルの攻撃者がファイルを改変し権限を昇格できるおそれがある
• .NET 10／11 では ソースビルド用tarballのみ が対象。.NET 8／9 では ASP.NET Core の tarball 配布物も対象 で、ソースからビルドしていない利用者も含まれる

再リリース分（10月13日の更新では完全に対処できていなかったもの）

• CVE-2026-70197：SocketAsyncEventArgs のメモリ破壊（.NET 8／9／10／11）
• CVE-2026-102870：Blazor WebAssembly デバッガー（.NET 10／11）

取るべき対応

修正版は .NET 8 が 8.0.33、.NET 9 が 9.0.22、.NET 10 が 10.0.14、.NET 11 は Release Candidate 3（RC2利用者はRC3へ）。Microsoftは可能な限り早く更新するよう推奨している。デプロイ形態ごとに手順が異なる点に注意が必要だ。

• フレームワーク依存アプリ：対象バージョンの更新済みランタイムを入れてアプリを再起動する
• 自己完結型アプリ：更新済みランタイムでリビルドして再公開する。ホスト側に新しいランタイムを入れても、同梱ランタイムは更新されない
• コンテナ：更新済みの .NET コンテナイメージでリビルドし再デプロイする
• ソースビルド利用者：更新済みのソースビルド成果物を取得してパッケージを再ビルドする
• .NET 8／9 の ASP.NET Core tarball 利用者：ソースからビルドしていなくても、更新された ASP.NET Core ランタイム tarball で更新する

インストール済みランタイムの確認には dotnet --list-runtimes を使う。自己完結型とコンテナのデプロイは、このコマンドでは把握できないため個別に確認する必要がある。