Microsoft phát hành bản cập nhật bảo mật ngoài lịch cho .NET 8, 9, 10 và .NET 11 RC3

Microsoft vừa phát hành các bản cập nhật bảo mật ngoài lịch (OOB) cho .NET 8, .NET 9 và .NET 10, cùng với .NET 11 Release Candidate 3. Khuyến nghị chung là người dùng nên cập nhật càng sớm càng tốt.

Hai lỗ hổng được khắc phục

Bản phát hành lần này xử lý CVE-2026-111497, một lỗ hổng trong thuật toán giải nén Brotli của .NET. Lỗi tràn bộ đệm này có thể cho phép kẻ tấn công chưa xác thực đọc hoặc làm hỏng bộ nhớ tiến trình, dẫn tới lộ thông tin, từ chối dịch vụ hoặc leo thang đặc quyền. Lỗ hổng ảnh hưởng trên tất cả các nền tảng.

Lỗ hổng thứ hai là CVE-2026-114148 liên quan đến metadata quyền sở hữu không an toàn trong các tarball .NET, cho phép kẻ tấn công cục bộ sửa đổi tệp và giành đặc quyền cao hơn. Lỗi này chỉ ảnh hưởng trên Linux, và có mặt trong .NET 8, 9, 10 và 11.

Phạm vi ảnh hưởng

Ứng dụng có thể bị ảnh hưởng nếu xử lý dữ liệu nén Brotli thông qua tính năng giải nén yêu cầu của ASP.NET Core, giải nén phản hồi tự động của HttpClient hoặc các API Brotli trong System.IO.Compression. Đáng chú ý, hai tính năng giải nén yêu cầu và giải nén phản hồi tự động không được bật mặc định. .NET Framework không bị ảnh hưởng.

Với .NET 10 và .NET 11, CVE-2026-114148 chỉ tác động đến tarball build từ mã nguồn. Với .NET 8 và .NET 9, lỗi còn ảnh hưởng đến các bản phân phối ASP.NET Core lấy từ tarball ASP.NET Core, kể cả người dùng không tự build .NET từ mã nguồn.

Vá lại các lỗi từ bản phát hành tháng 10

Ngoài ra, Microsoft phát hành lại khuyến cáo cho CVE-2026-70197 (lỗi hỏng bộ nhớ trong SocketAsyncEventArgs) trên .NET 8, 9, 10, 11 và CVE-2026-102870 (lỗi trình gỡ lỗi Blazor WebAssembly) trên .NET 10 và 11. Lý do là bản phát hành ngày 13/10/2026 chưa khắc phục triệt để các vấn đề này; bản cập nhật hôm nay cung cấp phần sửa còn thiếu.

Phiên bản cần cập nhật

• .NET 8: bản 8.0.33
• .NET 9: bản 9.0.22
• .NET 10: bản 10.0.14
• .NET 11: Release Candidate 3

Người dùng .NET 11 RC2 nên nâng lên RC3 để nhận các bản vá này.

Cách cập nhật theo từng kiểu triển khai

Với ứng dụng phụ thuộc framework, cần cài runtime đã cập nhật đúng phiên bản mục tiêu rồi khởi động lại ứng dụng. Với ứng dụng self-contained, phải build lại và phát hành lại bằng runtime mới, vì cài runtime mới trên máy chủ không cập nhật runtime đi kèm ứng dụng. Với container, cần build lại và triển khai lại bằng image .NET đã cập nhật.

Người dùng build từ mã nguồn cần lấy các artifact source-build mới và build lại gói để tích hợp bản sửa quyền sở hữu tarball. Riêng người dùng tarball ASP.NET Core trên .NET 8 và .NET 9 phải cập nhật bằng tarball ASP.NET Core Runtime mới, kể cả khi không tự build .NET từ mã nguồn.

Có thể kiểm tra các runtime đã cài trên máy bằng lệnh dotnet --list-runtimes. Với triển khai phụ thuộc framework, cần xác nhận runtime cập nhật tương ứng đã được cài; còn ứng dụng self-contained và container phải kiểm tra riêng vì chúng mang runtime của chính mình. Nếu gặp sự cố sau khi cập nhật, người dùng được khuyến khích báo cáo trong mục phản hồi phát hành .NET.

Nguồn: .NET Blog