Microsoft .NET · Divulgada

Microsoft corrige buffer overflow crítico no .NET em atualização emergencial

26 de out. de 2026 · 2 min de leitura

A Microsoft publicou em 25 de outubro atualizações fora de banda para .NET 8, 9, 10 e 11 RC3, corrigindo o CVE-2026-111497, buffer overflow crítico (CVSS 9,2) no algoritmo de descompactação Brotli, explorável sem autenticação. O pacote também corrige o CVE-2026-114148, elevação de privilégio local em tarballs do .NET no Linux, e reemite correções de CVE-2026-102870 e CVE-2026-70197, que o Patch Tuesday de 13 de outubro não corrigiu por completo. As fontes não relatam exploração em curso; desenvolvedores devem aplicar as atualizações, recompilar aplicações autocontidas e contêineres e atualizar pacotes NuGet do Blazor.

Por Redação HIFY Radar Atualizado 26/10/2026 13:58 Receba isso todo dia →← Voltar ao feed 2 fontes

CríticaFalhaDivulgadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

A Microsoft lançou em 25 de outubro atualizações fora de banda para .NET 8, 9, 10 e 11 RC3. Elas corrigem o CVE-2026-111497, falha crítica (CVSS 9,2) na descompactação Brotli que permite a um atacante sem autenticação ler ou corromper memória do processo, e o CVE-2026-114148, elevação de privilégio local em tarballs do .NET no Linux. Também reemitem correções de duas falhas do Patch Tuesday de 13 de outubro que ficaram incompletas.

Por que importa

Aplicações que processam dados compactados com Brotli, via ASP.NET Core, HttpClient ou System.IO.Compression, estão sujeitas a vazamento de informação, negação de serviço ou elevação de privilégio. Toda empresa com aplicativos ou serviços em .NET está exposta, e sistemas Linux que usam tarballs do .NET têm risco adicional de elevação de privilégio local.

O que fazer

Instalar o runtime atualizado de cada versão do .NET em uso e reiniciar as aplicações; recompilar e republicar aplicações autocontidas e contêineres com imagens atualizadas. Migrar .NET 11 RC2 para RC3. No Blazor, atualizar também os pacotes NuGet Microsoft.AspNetCore.Components.WebAssembly.Server e DevServer, pois atualizar só o runtime não basta.

Para o time técnico

CVE: CVE-2026-102870, CVE-2026-70197
Afetados: Microsoft .NET · .NET 8, 9, 10 e 11 em todos os sistemas operacionais (CVE-2026-111497). CVE-2026-114148: .NET 7 a 11, apenas Linux; no .NET 10 e 11, só tarballs source-build; no .NET 8 e 9, também distribuições ASP.NET Core obtidas via tarball, inclusive quem não compila .NET from source. CVE-2026-70197: .NET 8 a 11. CVE-2026-102870: .NET 10 e 11. Google Brotli 1.0.3 a 1.2.0 também exige atualização.
Exploração: Nenhuma exploração relatada nas fontes; estágio de divulgação com correção disponível. CVE-2026-114148 ainda sem CVSS atribuído, apenas reservado por uma CNA.
Correção: Atualizações fora de banda publicadas em 25 de outubro, uma por versão afetada do .NET; usuários do .NET 11 RC2 devem atualizar para RC3. Instalar o runtime atualizado e reiniciar aplicações framework-dependent; recompilar e republicar aplicações autocontidas; reconstruir contêineres com imagens .NET atualizadas; obter artefatos source-build atualizados e reconstruir pacotes para incorporar a correção de propriedade do tarball; no .NET 8 e 9 via tarball ASP.NET Core, usar o tarball atualizado do ASP.NET Core Runtime. Blazor: atualizar Microsoft.AspNetCore.Components.WebAssembly.Server e DevServer para versões corrigidas, incluindo 10.0.14 em projetos .NET 10. Brotli do Google: atualizar bibliotecas e binários para a versão mais recente.
Vetor: CVE-2026-111497: escrita fora dos limites (out-of-bounds) no algoritmo de descompactação Brotli usado pelo .NET, explorável sem autenticação quando a aplicação processa dados Brotli via descompactação de requisições do ASP.NET Core, descompactação automática de respostas do HttpClient ou APIs Brotli do System.IO.Compression. CVE-2026-114148: metadados inseguros de propriedade em tarballs do .NET no Linux, explorável por atacante já autorizado para elevar privilégios localmente.
Mais detalhes: A atualização reemite correções de CVE-2026-70197 (corrupção de memória em SocketAsyncEventArgs.NET 8 a 11) e CVE-2026-102870, não corrigidas por completo no Patch Tuesday de 13 de outubro. A Infosecurity Magazine classifica CVE-2026-102870 como injeção de código no .NET 10 e 11; o DarkWebInformer o descreve como RCE (CVSS 8.8) no depurador do Blazor WebAssembly, exigindo interação do usuário: dados controlados pelo atacante escapam de uma string C# gerada quando o desenvolvedor avalia uma expressão. A Microsoft avisa que atualizar apenas o runtime compartilhado não corrige a falha do Blazor quando pacotes NuGet afetados são referenciados diretamente. Brotli foi criado por dois engenheiros do Google em 2015.

Linha do tempo

26/10/2026 13:58
Microsoft publica atualizações fora de banda para .NET 8, 9, 10 e 11 após correção incompleta em 13 de outubro.
26/10/2026 13:44
Microsoft publica correção emergencial para buffer overflow crítico no .NET.