Microsoft ha publicado una actualización de seguridad fuera de banda (OBB) para las versiones 8, 9 y 10 de .NET, así como para la tercera versión candidata de .NET 11. Esta corrección urgente aborda vulnerabilidades graves en el algoritmo de descompresión Brotli y en los metadatos de los archivos de distribución para sistemas Linux, recomendando a los usuarios instalar las actualizaciones de inmediato para mitigar riesgos de exposición de datos y elevación de privilegios.
El fallo principal, identificado como CVE-2026-111497, permite a un atacante sin autenticación leer o modificar la memoria de un proceso, lo que puede derivar en la interrupción de servicios o la obtención de permisos elevados. Esta vulnerabilidad afecta a aplicaciones que procesan datos comprimidos mediante funciones de ASP.NET Core, la descompresión automática de respuestas de HttpClient o la biblioteca System.IO.Compression. Microsoft aclara que la descompresión de solicitudes y respuestas no está activada por defecto, por lo que el riesgo no impacta directamente en .NET Framework.
Además, la actualización resuelve CVE-2026-114148, una vulnerabilidad en los metadatos de propiedad de los archivos de distribución de .NET para Linux. Un atacante con acceso local puede modificar estos archivos para obtener privilegios elevados, aunque el alcance varía según la versión: en .NET 10 y 11 afecta a paquetes de compilación, mientras que en .NET 8 y 9 impacta en distribuciones de ASP.NET Core obtenidas mediante estos paquetes.
Para aplicar las correcciones, Microsoft detalla procedimientos específicos según el entorno de ejecución: las aplicaciones integradas en el sistema deben reiniciarse tras actualizar .NET; las aplicaciones autónomas deben recompilarse y publicarse de nuevo; los contenedores requieren reconstrucción con imágenes actualizadas; y los usuarios de ASP.NET Core en versiones 8 y 9 deben actualizar los archivos TAR del entorno de ejecución.