.NET Updates: Brotli-Vulnerability CVE-2026-111497 fixiert

Microsoft hat am 25. Oktober (Japans Zeit) die .NET October 2026 Out-of-Band Security Updates veröffentlicht. Dabei wurden Sicherheitsupdates für .NET 8, .NET 9 und .NET 10 bereitgestellt, um das kritische Brotli-Vulnerability CVE-2026-111497 zu beheben. Die Schwachstelle betrifft die Datenkomprimierung und kann zu Remote Code Execution führen.

Microsoft bestätigt zudem, dass Linux-Updates (CVE-2026-114148) ebenfalls notwendig sind. Für Anwendungen, die .NET-Lanternm aus externen Quellen nutzen, ist der Einsatz einer korrigierten Version erforderlich. Selbst in selbst-contained Apps reicht ein OS-Update nicht aus; eine Neubildung mit dem Patch ist nötig.

Google hat ebenfalls reagiert. Die Schwachstelle wurde als HTTP2Shell und Node2Shell bezeichnet. Betroffen sind neben .NET auch Tools wie Bun, Envoy Proxy und Istio sowie native Bibliotheken in Java oder Python.