Microsoft ha distribuido una actualización de seguridad fuera del calendario habitual para varias versiones de su plataforma .NET. La corrección está dirigida a .NET 8, .NET 9, .NET 10 y a la tercera versión candidata de .NET 11, por lo que afecta principalmente a aplicaciones y servidores que utilizan estas tecnologías.
El problema más relevante está identificado como CVE-2026-111497 y se encuentra en Brotli, un algoritmo empleado para descomprimir determinados datos. Según explicó Microsoft, un atacante que no haya iniciado sesión podría llegar a leer o modificar la memoria utilizada por un proceso. Entre las consecuencias posibles figuran la exposición de información, la interrupción de un servicio y la elevación de privilegios.
El fallo puede estar presente en programas que procesan contenido comprimido mediante ASP.NET Core, la descompresión automática de respuestas de HttpClient o las interfaces de la biblioteca System.IO.Compression. Microsoft aclara que las funciones de descompresión de solicitudes y respuestas no están activadas de manera predeterminada. El problema tampoco afecta a .NET Framework.
| Vulnerabilidad | Componente afectado | Acceso descrito por Microsoft |
|---|---|---|
| CVE-2026-111497 | Brotli y funciones de compresión de .NET | Sin autenticación |
| CVE-2026-114148 | Metadatos de paquetes de .NET para Linux | Acceso local |
La misma actualización corrige además CVE-2026-114148, relacionada con los metadatos de propiedad de los archivos que forman parte de las distribuciones de .NET para Linux. En este caso, Microsoft señala que una persona con acceso local podría modificar determinados archivos y obtener privilegios elevados.
El alcance de este segundo fallo cambia según la versión instalada. En .NET 10 y .NET 11 afecta a los paquetes utilizados para compilar el código fuente. En .NET 8 y .NET 9, el problema también alcanza determinadas distribuciones de ASP.NET Core obtenidas a través de esos paquetes.
Microsoft recomienda instalar cuanto antes las nuevas versiones que corrigen estos problemas. La compañía ha publicado instrucciones diferentes según la forma en que se ejecuten o distribuyan las aplicaciones, aunque los datos disponibles no detallan en qué consisten esos procedimientos.
En la práctica
- El aviso afecta a entornos que utilicen .NET 8, .NET 9, .NET 10 o la tercera versión candidata de .NET 11.
- Los responsables deben revisar especialmente las aplicaciones que procesen datos Brotli mediante ASP.NET Core, HttpClient o System.IO.Compression.
- Microsoft recomienda aplicar las versiones corregidas lo antes posible; .NET Framework no está afectado por la vulnerabilidad de Brotli.
