マイクロソフトが.NETの定例外セキュリティ更新を公開、Brotliの脆弱性など4件を修正　10月の月例更新の修正不足も

マイクロソフトは2026年10月25日（現地時間）、通常の月例更新とは別に、.NETの定例外セキュリティ更新を公開した。対象は.NET 8.0.33、.NET 9.0.22、.NET 10.0.14と、プレビュー版の.NET 11 RC3。Brotli圧縮データの処理に関する脆弱性などの新規2件に加え、10月13日の月例更新で修正が不十分だった2件をあらためて修正した。計4件。.NET Frameworkは影響を受けない。

事案の詳細

修正された脆弱性は次の4件。

• CVE-2026-111497（Brotliデコーダーの境界外書き込み）：.NETが使うGoogle製Brotliライブラリの展開処理に起因する。細工された圧縮データを処理させると、認証なしでプロセスのメモリを読み取られたり壊されたりし、情報漏えい、サービス拒否、権限昇格につながるおそれがある。Security NEXTによると、CVSS基本値は8.1で、マイクロソフトは深刻度を「緊急（Critical）」としている。
• CVE-2026-114148（Linux向け配布アーカイブの所有権の問題）：ASP.NET CoreのLinux向けアーカイブ（tarball）などに含まれるファイル所有権の扱いに起因し、ローカルでのファイル改変や権限昇格につながるおそれがある。重要度は「重要（Important）」、CVSS基本値は7.8。
• CVE-2026-70197（Windowsのソケット処理のメモリ破損）：10月13日の更新で修正しきれていなかったため、再度修正した。
• CVE-2026-102870（Blazor WebAssemblyのデバッガーパッケージ）：.NET 10と11が対象。こちらも10月13日の修正が不十分だった。

Brotliの脆弱性は、外部から受け取ったBrotli圧縮データを展開する場合に影響する。ASP.NET Coreのリクエスト展開と、HttpClientのレスポンス自動展開は既定では無効で、有効にしている場合に影響を受ける。同じBrotliライブラリの問題については、Node.jsも10月21日に修正版を出している。

影響と背景

10月13日の更新を適用済みでも、2件は修正が不十分だったため、今回の更新をあらためて適用する必要がある。また、更新の方法にも注意が要る。

• .NET 8と9で、マイクロソフトが配布するASP.NET Coreランタイムなどのtarballを使ってLinuxに導入している場合は、上書き更新ではなく、いったん削除してから入れ直すことが求められている。
• Blazor WebAssemblyの単体のデバッガーパッケージ（Server/DevServer）を参照している場合は、共有ランタイムの更新だけでは足りず、パッケージ参照そのものを更新する必要がある。
• .NETランタイムをアプリに同梱して配布している場合やコンテナ環境では、更新済みの環境で再ビルドして配り直す必要がある。

対策・今後の展望

• 利用バージョンを確認する：端末、サーバー、コンテナ、開発環境で使っている.NETのバージョンを確認し、.NET 8.0.33、9.0.22、10.0.14以降に更新する。
• Brotliを扱う箇所を確認する：外部から届く圧縮データをBrotliで展開する処理や、既定で無効な展開機能を有効にしていないかを点検する。
• 配布方式ごとの手順に従う：Linuxのtarball導入はクリーンインストール、Blazorのデバッガーパッケージは参照の更新、同梱配布やコンテナは再ビルドと再配布を行う。
• 適用後の動作を確認する：主要なアプリの起動、通信、圧縮データの処理を確認し、結果を記録する。

CSRIからの現場アドバイス

【現場で何が起きているか】中小企業では、Windows Updateは自動で当たっていても、業務アプリの土台である.NETや、開発会社が納品したアプリに同梱されたランタイムの更新は後回しになりがちです。今回のように「月例更新の修正が不十分だった」というケースでは、適用済みのつもりで見落とされることもあります。

【平易な解説】.NETは、社内のアプリを動かす「土台」です。今回は、圧縮されたデータをほどく部品などに問題が見つかりました。先日の修理が不十分だった箇所もあるため、一度直したはずの人も、もう一度更新が必要です。

【今週中にできること】社内で.NETを使う業務アプリやWebサービスがあるかを、情シスや開発会社に確認してください。該当する場合は、今回のバージョンへの更新日と担当者を決め、アプリに同梱しているものやコンテナについては再ビルドの予定も立てましょう。

参照: dotnet/announcements #496 ／ Security NEXT（2026年10月26日）