Microsoft ha lanzado actualizaciones de seguridad urgentes para .NET con el fin de corregir un desbordamiento de búfer de Brotli y configuraciones de propiedad inseguras en los archivos de distribución de Linux. Estas actualizaciones, publicadas el 25 de octubre de 2026, afectan a .NET 8, 9, 10 y .NET 11 Release Candidate 3. La compañía insta a los usuarios a actualizar sus sistemas lo antes posible.

Microsoft ha lanzado actualizaciones de seguridad fuera de banda para .NET para solucionar un desbordamiento de búfer de Brotli y configuraciones de propiedad inseguras en los archivos de distribución de Linux.

Publicada el 25 de octubre de 2026, la versión cubre .NET 8, .NET 9, .NET 10 y .NET 11 Release Candidate 3. Microsoft te insta a que actualices lo antes posible.

El anuncio oficial de Microsoft también confirma que estas actualizaciones completan las correcciones de dos vulnerabilidades que no se resolvieron totalmente en la versión del 13 de octubre. Por lo tanto, los parches son importantes incluso para los equipos que ya instalaron las actualizaciones de .NET anteriores de este mes.

Rastreada como CVE-2026-111497, la primera vulnerabilidad afecta al uso que hace .NET de la descompresión Brotli en todas las plataformas. Un desbordamiento de búfer podría permitir que un atacante no autenticado lea o corrompa la memoria del proceso. Los resultados posibles incluyen la exposición de datos, fallos en la aplicación o la elevación de privilegios.

Tus aplicaciones pueden estar expuestas cuando manejan datos comprimidos con Brotli a través de la descompresión de solicitudes de ASP.NET Core, la descompresión automática de respuestas de HttpClient o las API de Brotli de System.IO.Compression.

Microsoft emite actualizaciones de emergencia para Brotli y .NET

Microsoft señala que la descompresión de solicitudes y la descompresión automática de respuestas no están habilitadas por defecto. El antiguo .NET Framework no se ve afectado.

Esto hace que la configuración de tu aplicación sea importante al evaluar la exposición. Tu equipo debería identificar los servicios que realmente procesan contenido Brotli en lugar de asumir que cada aplicación .NET tiene el mismo riesgo.

Cybersecuritynews cubrió previamente una vulnerabilidad de denegación de servicio de .NET independiente, destacando otro caso donde la disponibilidad de la aplicación estaba en riesgo.

La segunda vulnerabilidad, CVE-2026-114148, se refiere a metadatos de propiedad inseguros en los archivos tarball de .NET afectados en Linux. Estos archivos contienen información de propiedad para los archivos empaquetados.

Microsoft afirma que el fallo podría permitir que un atacante local modifique archivos y obtenga privilegios más altos. A diferencia del problema de Brotli, esta vulnerabilidad afecta específicamente a Linux.

Para .NET 10 y .NET 11, el problema afecta solo a los tarballs de compilación de código fuente. Para .NET 8 y .NET 9, también afecta a las instalaciones de ASP.NET Core obtenidas a través de tarballs de ASP.NET Core. Los usuarios de este segundo grupo necesitan archivos actualizados incluso si no compilan .NET desde el código fuente.

La versión también completa las correcciones para CVE-2026-70197, que implica la corrupción de memoria de SocketAsyncEventArgs, y CVE-2026-102870, que afecta al depurador de Blazor WebAssembly. Estas afectan a .NET 8 hasta 11 y a .NET 10 hasta 11, respectivamente.

Las versiones parcheadas son .NET 8.0.33, .NET 9.0.22, .NET 10.0.14 y .NET 11 Release Candidate 3. Si usas .NET 11 RC2, debes pasarte a RC3. Esta versión sigue a servicios de emergencia anteriores, incluida la actualización de seguridad .NET 10.0.7 de Microsoft.

Las aplicaciones que dependen del framework requieren el runtime actualizado y un reinicio de la aplicación. Las aplicaciones autónomas (self-contained) deben ser reconstruidas y republicadas, ya que instalar un runtime de host más nuevo no reemplaza el runtime incluido en ellas. Los usuarios de contenedores deben reconstruir y volver a desplegar utilizando imágenes de .NET actualizadas.

Si compilas desde el código fuente, debes obtener los artefactos actualizados y reconstruir los paquetes. Puedes comprobar los runtimes instalados con dotnet --list-runtimes, pero debes verificar las aplicaciones autónomas y los contenedores por separado. La documentación de despliegue de .NET de Microsoft explica estas diferencias y te ayuda a elegir la ruta de actualización correcta para cada aplicación.