Microsoft、.NET緊急更新 Brotli脆弱性など修正

米Microsoftは2026年10月25日（現地時間）、開発・実行基盤「.NET」の定例外（Out-of-Band）セキュリティ更新を公開した。通常の月例更新を待たずに提供するもので、Brotli形式のデータ展開に関わる脆弱性をはじめ、複数の問題に対応する。対象となるアプリケーションやビルド環境について、同社はできるだけ早く更新するよう呼びかけている。

更新後のバージョンは.NET 8が「8.0.33」、.NET 9が「9.0.22」、.NET 10が「10.0.14」。開発中の.NET 11についてはRelease Candidate 3（RC3）が対象だ。.NET Frameworkは今回の対象外と明記された。アプリが共有ランタイムを使うのか、自己完結型で配布されるのかによって適用方法が異なる。

Brotli解凍処理の脆弱性はCVSS 8.1

中心となる「CVE-2026-111497」は、.NETのBrotliデコーダーに存在する境界外書き込みの問題だ。Microsoftの勧告によれば、認証されていない攻撃者がプロセスのメモリを読み取ったり破損させたりする可能性があり、情報漏えい、サービス拒否、権限昇格につながり得る。深刻度は「High」、CVSS v3.1スコアは8.1と評価されている。ただし、脆弱な.NETが入っているだけで直ちに攻撃可能になるわけではない。

ASP.NET Coreのリクエスト解凍やHttpClientの応答自動解凍は、標準設定ではBrotliを自動的に処理しない。攻撃者が制御するBrotliデータを、アプリ側の設定やBrotliStreamなどのAPIで展開する場合に影響が生じると説明されている。Microsoftは更新までの暫定策として、該当する処理が既に有効な場合に限り、Brotli展開を無効化する方法を案内した。未使用の機能を新たに有効化することは推奨していない。

Linux配布物と前回の修正漏れにも対応

「CVE-2026-114148」は、Linux向け.NET関連tarballのファイル所有権に関する問題で、条件次第でローカル権限昇格が起こり得る。対象は特定のASP.NET Coreランタイム・ターゲティングパックのアーカイブやソースビルド成果物であり、すべてのLinux環境が同じ条件で影響するわけではない。配布方法と展開時の所有権設定を確認する必要がある。

さらに、10月13日の更新では十分に解消できていなかった2件の修正も含まれる。「CVE-2026-70197」はWindowsのSocketAsyncEventArgsに関係するメモリ破損、「CVE-2026-102870」は.NET 10・11のBlazor WebAssemblyデバッガー関連パッケージの問題だ。後者についてMicrosoftは、共有ランタイムの更新だけでは不十分で、影響を受けるServer／DevServerパッケージ参照も更新するよう案内している。

利用者が確認すべき更新方法

開発者は利用中のランタイム・SDK・依存パッケージの版を確認し、対象バージョンへ更新したうえでアプリを再起動する必要がある。自己完結型のアプリやNativeAOTで配布している場合は、新しいSDKでの再ビルド・再配布が必要になる場合がある。Linuxの該当アーカイブは所有権を考慮した入れ替えが必要だ。影響範囲は利用機能と配布形態で異なるため、個々のCVE勧告を確認することが重要となる。