緊急セキュリティアップデートの詳細
.NET 8、.NET 9、.NET 10、および.NET 11のリリース候補3（RC3）を対象とした緊急の帯域外（Out-of-Band）セキュリティアップデートの提供開始を発表しました。この措置は、最近発見され、開発者やシステム管理者による迅速な対応が求められるセキュリティ脆弱性に対処し、作業環境の安全性を確保するためのものです。
対処された脆弱性
このアップデートには、2つの主な脆弱性の修正が含まれています。
- CVE-2026-111497: Brotli圧縮アルゴリズムにおけるバッファオーバーフローの脆弱性です。この脆弱性により、認証されていない攻撃者がプロセス内のメモリを読み取ったり破損させたりする可能性があり、機密情報の漏洩、サービス拒否（DoS）、または権限昇格を引き起こす恐れがあります。この脆弱性はすべてのプラットフォームに影響を与えます。
- CVE-2026-114148: Linuxシステム上の.NETのtarballファイルにおける安全でない所有権データに関する脆弱性であり、ローカルの攻撃者がファイルを改ざんして特権を取得する可能性があります。
さらに、マイクロソフトは、2026年10月13日にリリースされたアップデートでは問題が完全に解決されていなかったことが判明したため、以前の脆弱性（CVE-2026-70197およびCVE-2026-102870）に対処するためのアップデートを再リリースしました。
開発者が取るべき対応
アップデートの手順は、使用するアプリケーションの種類によって異なります。
- フレームワーク依存型アプリケーション: 対象バージョンの更新されたランタイムをインストールし、アプリケーションを再起動する必要があります。
- 自己包含型アプリケーション: バンドルされたコンポーネントは自動的に更新されないため、アプリケーションを再ビルドし、更新されたランタイムを使用して再デプロイする必要があります。
- コンテナ: 更新された.NETコンテナイメージを使用してイメージを再ビルドし、デプロイする必要があります。
- tarball利用者: .NET 8および9のASP.NET Coreユーザーは、更新されたtarballファイルを使用してインストール環境を更新する必要があります。
ユーザーは、dotnet --list-runtimes コマンドを実行して現在インストールされているランタイムのバージョンを確認し、アップデートが正しく適用されていることを確認できます。