Microsoft publicó el 25 de octubre actualizaciones extraordinarias de seguridad para .NET 8, 9 y 10, además de .NET 11 RC3, para corregir un fallo en el decodificador Brotli. La vulnerabilidad, CVE-2026-111497, afecta a aplicaciones que descomprimen datos en ese formato controlados por un atacante. Según cómo se haya distribuido la aplicación, instalar el runtime corregido puede ser suficiente o será necesario recompilarla y desplegarla de nuevo.
Microsoft califica el fallo como de gravedad alta, con 8,1 puntos en la escala CVSS 3.1. Se trata de una escritura fuera de los límites de memoria previstos: un atacante sin autenticar podría leer o corromper memoria del proceso, con posibles consecuencias de divulgación de información, denegación de servicio o elevación de privilegios.
Qué aplicaciones están expuestas
Brotli es un formato de compresión. El riesgo aparece cuando una aplicación procesa contenido malicioso mediante la descompresión de solicitudes de ASP.NET Core, la descompresión automática de respuestas de HttpClient o las API de System.IO.Compression, como BrotliStream y BrotliDecoder.
Tener instalado un componente vulnerable no implica por sí solo estar expuesto: la aplicación debe descomprimir datos Brotli controlados por un atacante. La descompresión automática de solicitudes en ASP.NET Core y la de respuestas en HttpClient no están habilitadas por defecto. .NET Framework no está afectado; el aviso alcanza a las plataformas que ejecuten los componentes vulnerables de .NET.
Versiones corregidas y cómo actualizar
Microsoft distingue entre el runtime, que permite ejecutar las aplicaciones, y el SDK, que contiene las herramientas para compilarlas. Estas son las versiones corregidas indicadas en su aviso:
| Rama | Runtime corregido | SDK corregido |
|---|---|---|
| .NET 8 | 8.0.33 | 8.0.133 o 8.0.427 |
| .NET 9 | 9.0.22 | 9.0.123 o 9.0.320 |
| .NET 10 | 10.0.14 | 10.0.114 o 10.0.403 |
| .NET 11 preliminar | RC3: 11.0.0-rc.3.26522.148 | 11.0.100-rc.3.26522.148 |
Quienes utilicen .NET 11 RC2 deben pasar a RC3. Para las demás aplicaciones, los pasos dependen del despliegue:
- Runtime compartido: instalar la versión corregida y reiniciar la aplicación.
- Aplicaciones autocontenidas: recompilar y redistribuir. Actualizar el runtime del servidor no sustituye la copia incluida en la aplicación.
- Contenedores: reconstruir y volver a desplegar con imágenes .NET actualizadas.
- NativeAOT: actualizar el SDK y las referencias pertinentes, recompilar y redistribuir, porque el decodificador vulnerable puede estar integrado en el ejecutable.
En Azure Functions, Microsoft indicó el 26 de octubre que la distribución del runtime actualizado seguía en curso en los planes y sistemas operativos enumerados en su aviso. El inicio de ese despliegue no garantiza que cada instancia esté corregida. Las aplicaciones autocontenidas, los contenedores personalizados y los paquetes gestionados por cada aplicación requieren una revisión propia.
La tanda también corrige CVE-2026-114148, relacionada con la propiedad de archivos en determinados paquetes tar de .NET para Linux. Además, vuelve a publicar correcciones para CVE-2026-70197 y CVE-2026-102870 porque las del 13 de octubre no resolvieron por completo esos problemas.
Mitigación temporal si no puedes actualizar todavía
Microsoft recomienda evitar la descompresión de Brotli procedente de fuentes no confiables. Si la aplicación ya utiliza esa función, puede retirar el proveedor br de su configuración de ASP.NET Core o excluir Brotli de la descompresión automática de HttpClient. Al aplicar los ejemplos del aviso, no se debe activar una configuración de descompresión nueva; retirar Brotli también puede alterar el procesamiento habitual de solicitudes o respuestas.
