Microsoft ha pubblicato domenica 25 ottobre un aggiornamento .NET di sicurezza fuori dal normale calendario mensile (out-of-band). Corregge la CVE-2026-111497, una falla nel decompressore Brotli usato da .NET 8, .NET 9, .NET 10 e dalle anteprime di .NET 11, che secondo l’azienda potrebbe permettere a un attaccante non autenticato di leggere o corrompere la memoria del processo. Microsoft raccomanda di installare le nuove versioni il prima possibile.
Aggiornamento .NET d’emergenza: cosa corregge
Secondo l’advisory pubblicato sul repository GitHub di .NET, la CVE-2026-111497 è una scrittura fuori dai limiti della memoria (out-of-bounds write) nella libreria di decompressione Brotli. Microsoft la classifica come di gravità alta, con punteggio CVSS 3.1 pari a 8,1. Le conseguenze possibili indicate sono la divulgazione di informazioni, il blocco del servizio (denial of service) o l’elevazione dei privilegi.
Lo stesso rilascio corregge anche la CVE-2026-114148, che riguarda i permessi dei file in alcuni archivi tarball di .NET per Linux e potrebbe consentire a un attaccante locale di modificare file e ottenere privilegi elevati. Microsoft ha inoltre ripubblicato le correzioni per la CVE-2026-70197 (corruzione di memoria in SocketAsyncEventArgs) e per la CVE-2026-102870 (debugger di Blazor WebAssembly), perché l’aggiornamento del 13 ottobre non le risolveva del tutto.
Chi è davvero esposto
Avere installato un pacchetto .NET vulnerabile non basta per essere a rischio. Microsoft spiega che un’applicazione è esposta solo se decomprime dati Brotli controllati da un attaccante attraverso uno di questi percorsi:
- la decompressione automatica delle richieste in ASP.NET Core con supporto Brotli («br») attivo;
- la decompressione automatica delle risposte di HttpClient configurata per includere Brotli;
- l’uso diretto delle API Brotli di System.IO.Compression, come BrotliStream o BrotliDecoder.
Le due funzioni di decompressione automatica di ASP.NET Core e HttpClient non sono attive per impostazione predefinita. Il vecchio .NET Framework non è interessato. Nell’advisory la falla non risulta sfruttata in attacchi reali al momento della pubblicazione.
Le versioni da installare
- .NET 8: runtime 8.0.33 (SDK 8.0.133 e 8.0.427);
- .NET 9: runtime 9.0.22 (SDK 9.0.123 e 9.0.320);
- .NET 10: runtime 10.0.14 (SDK 10.0.114 e 10.0.403);
- .NET 11: Release Candidate 3, per chi usa le versioni di anteprima.
Cosa fare
- Controllare i runtime installati con il comando
dotnet --list-runtimese aggiornare alla versione corretta per il proprio ramo di .NET. - Per le applicazioni che usano il runtime condiviso, dopo l’aggiornamento è necessario riavviarle.
- Le applicazioni self-contained e quelle compilate con NativeAOT vanno ricompilate e ridistribuite: aggiornare il runtime del server non sostituisce quello incluso nell’applicazione.
- Chi usa container deve ricostruire le immagini partendo da quelle .NET aggiornate.
- Se l’aggiornamento non è subito possibile, Microsoft consiglia di evitare di decomprimere dati Brotli non attendibili, per esempio escludendo Brotli da una configurazione di decompressione già esistente, dopo aver testato le modifiche.
Non è l’unico intervento urgente di questi giorni per chi gestisce applicazioni web: restano da verificare anche le falle critiche di PHP e la vulnerabilità di Collabora per Nextcloud già sfruttata. Sul fronte Microsoft, abbiamo raccontato di recente anche i dati del Microsoft Digital Defense Report 2026.
Fonti: Microsoft .NET Blog; Microsoft, advisory GHSA-p3jp-9v83-76w9 (CVE-2026-111497); dotnet/announcements #494; Note di rilascio .NET 8.0.33.
