Le 25 octobre 2026, Microsoft a publié des mises à jour de sécurité .NET hors cycle, notamment pour CVE-2026-111497, une écriture hors limites dans le décodeur Brotli. Le défaut peut provoquer une corruption mémoire lorsqu’une application décompresse des données préparées par un attaquant. Installer un runtime corrigé est nécessaire, mais les déploiements autonomes et les conteneurs demandent aussi une reconstruction.
Le défaut concerne le traitement de données Brotli
Le bulletin Microsoft décrit une vulnérabilité du décodeur Brotli utilisé par .NET. Une entrée malveillante peut entraîner la lecture ou la corruption de mémoire, avec un risque de divulgation d’informations, de déni de service ou d’élévation de privilèges selon le contexte.
La version vulnérable ne signifie pas automatiquement que l’application est accessible par ce chemin. Il faut qu’elle décompresse des données contrôlées par un attaquant, par exemple avec la décompression de requêtes ASP.NET Core configurée pour Brotli, une décompression automatique activée dans HttpClient ou un appel explicite aux API Brotli.
Quelles versions installer
Microsoft publie les versions .NET 8.0.33, 9.0.22 et 10.0.14 ainsi que la version candidate .NET 11 RC3. Les mises à jour comprennent aussi CVE-2026-114148, qui concerne la propriété de fichiers dans certains tarballs Linux. Consultez les tableaux Microsoft pour les SDK, plateformes et paquets réellement utilisés.
Microsoft a également republié des avis pour deux failles dont la correction du 13 octobre était incomplète : CVE-2026-70197 et CVE-2026-102870. Les organisations ayant déjà installé la mise à jour précédente doivent vérifier le bulletin courant et les versions installées.
Vérifier l’exposition réelle
Commencez par inventorier les runtimes et SDK présents, puis vérifiez comment chaque application traite la compression Brotli. Ne désactivez pas un mécanisme sans comprendre ses effets fonctionnels. Si l’application ne traite pas de données Brotli non fiables par les chemins décrits, la seule présence de .NET ne prouve pas qu’elle est exposée à cette attaque.
Pour une mesure temporaire avant le déploiement, Microsoft conseille de cesser de transmettre des données Brotli non fiables aux API de décompression concernées. Faites valider tout changement de configuration par les personnes responsables de l’application.
Mettre à jour chaque mode de déploiement
Pour une application dépendante du framework, installez le runtime corrigé correspondant à la version ciblée, puis redémarrez l’application. Une application autonome embarque son propre runtime : reconstruisez-la et republiez-la avec les paquets corrigés. Installer une nouvelle version partagée sur l’hôte ne remplace pas le runtime intégré.
Pour les conteneurs, reconstruisez les images à partir de bases actualisées et redéployez les workloads. Vérifiez ensuite la version dans l’environnement actif. Les processus déjà lancés continuent d’utiliser les bibliothèques chargées avant leur redémarrage.
Le lien avec Soclyde
Les équipes de développement et d’exploitation peuvent conserver les accès aux dépôts, registres de conteneurs et environnements dans un coffre chiffré, avec des secrets distincts. Soclyde aide à organiser ces accès; il ne corrige pas la bibliothèque Brotli ni les applications .NET.
Consultez les fonctionnalités de Soclyde pour organiser les identifiants partagés par une petite équipe.
À retenir
Appliquez les versions .NET corrigées, confirmez les chemins de décompression utilisés et reconstruisez les applications autonomes et conteneurs. Le niveau d’exposition dépend de la façon dont chaque logiciel traite des entrées Brotli non fiables. Pour structurer les accès d’exploitation, découvrez notre guide de sécurité des mots de passe.