Microsoft, 25 Ekim 2026’da .NET için olağan dışı (out-of-band) bir güvenlik güncellemesi yayımladı. Güncelleme, .NET ve ASP.NET Core’un kullandığı Brotli kütüphanesindeki bir açığı (CVE-2026-111497) kapatıyor. .NET ekibinin duyurusu, etkilenen kurulumların en kısa sürede güncellenmesini öneriyor.
Ne oldu
Brotli, Google’ın geliştirdiği ve web trafiğinde yaygın kullanılan bir sıkıştırma biçimi. NVD kaydına göre açık, Brotli kod çözücüsünde (c/dec/decode.c) bir arabellek taşması; Brotli’nin 1.0.3’ten itibaren düzeltme öncesi sürümlerini etkiliyor (düzeltilmiş sürümler: 1.0.10, 1.1.1, 1.2.1). Kimlik doğrulaması gerektirmeyen uzak bir saldırgan, özel hazırlanmış sıkıştırılmış veriyle bellek içeriğini bozabiliyor, hassas bellek içeriğini sızdırabiliyor, hizmeti durdurabiliyor ya da kod çalıştırabiliyor. CVE kaydını atayan Google, açığa CVSS 4.0 ölçeğinde 9,2 puan verdi.
.NET’in sürüm notları açığı “.NET ve ASP.NET Core’un kullandığı Brotli kütüphanesindeki bir açık” olarak tanımlıyor: kötü niyetle hazırlanmış sıkıştırılmış veriyi işlemek hizmet kesintisine, bilgi sızmasına ya da yetki yükseltmeye yol açabiliyor. Microsoft’un duyurusunda açığın istismar edildiğine ya da önceden kamuya açıklandığına dair bir ifade yok.
Aynı sürümde ayrıca kaynaktan derlenen Linux .NET paketlerindeki hatalı dosya sahipliği (CVE-2026-114148) düzeltildi. 13 Ekim güncellemesinin tam kapatamadığı iki açığın (CVE-2026-70197 ve CVE-2026-102870) düzeltmeleri de yeniden yayımlandı.
Kimleri etkiler
Sürüm notlarına göre uygulama, Brotli sıkıştırmasını şu yollardan biriyle kullanıyorsa etkileniyor: ASP.NET Core’un istek sıkıştırmasını açma özelliği, HttpClient’ın otomatik yanıt açma özelliği ya da System.IO.Compression içindeki Brotli API’leri. Sürüm notlarına göre otomatik istek ve yanıt açma varsayılan olarak etkin değil. .NET Framework etkilenmiyor.
Brotli kütüphanesi yalnız .NET’te kullanılmıyor; NVD kaydı, Node.js’in Ekim güvenlik sürümlerini de aynı açık için kaynak olarak listeliyor. Kendi uygulamalarında Brotli kullanan kurumların diğer yazılımları da gözden geçirmesi gerekebilir.
Üretici ne öneriyor
Microsoft’un önerisi, .NET 10 için 10.0.14’e, .NET 9 için 9.0.22’ye, .NET 8 için 8.0.33’e güncellemek. Önizleme kullananlar için 11.0.0-rc.3 yayımlandı. Sunucularda hem .NET çalışma zamanının hem de ASP.NET Core çalışma zamanının güncellenmesi, uygulamaların kendi içinde paketlediği (self-contained) çalışma zamanlarının yeniden derlenip dağıtılması gerekiyor.
Brotli projesinin kendisi için düzeltilmiş sürümler 1.0.10, 1.1.1 ve 1.2.1. Duyurunun tamamı yan sütundaki bağlantıda; sürüm ayrıntıları .NET 10.0.14 sürüm notlarında.
