微软紧急给 .NET 打补丁：Brotli 漏洞波及 8/9/10 三代，十月补丁没修干净

微软在 10 月 25 日计划外给 .NET 发了一次安全更新，覆盖 .NET 8、9、10 三个受支持版本，同时还带上了 .NET 11 RC3。起因是 Brotli 解码器里的缓冲区溢出漏洞 CVE-2026-111497——同一个漏洞上周已经逼 Node.js、Python 等一众生态紧急发版，现在轮到 .NET。更值得留意的是，微软承认 10 月 13 日补丁星期二的两个修复没修干净，这次一并补发。

这次修了什么

CVE-2026-111497（Brotli 缓冲区溢出）：攻击者用特制的 Brotli 压缩流就能破坏解码器内存、泄露内存内容、让进程崩溃，特定条件下还可能执行代码。受影响的是三类用法：ASP.NET Core 的请求解压、HttpClient 的自动响应解压、直接调用 System.IO.Compression Brotli API 的程序。微软同时说明，请求解压与自动响应解压默认并不开启，.NET Framework（Windows 内置的经典框架）不受影响。

CVE-2026-114148（Linux 打包文件归属问题）：Linux 版 .NET 安装包里的文件归属元数据不安全，本地攻击者可能借此改文件、提权。.NET 10 与 11 只影响源码构建包，.NET 8 与 9 还影响 ASP.NET Core 的安装包。

两个补发的旧漏洞：CVE-2026-70197（SocketAsyncEventArgs 内存损坏）与 CVE-2026-102870（Blazor WebAssembly 调试器），10 月 13 日的修复不完整，这次重新发布。也就是说，补丁星期二打过补丁的用户如果没跟这次更新，其实还没真正修好。

修复版本与该怎么做

修复后的版本是 .NET 8.0.33、.NET 9.0.22、.NET 10.0.14，.NET 11 用户从 RC2 升到 RC3。微软把两个新漏洞都评为 High 级别。更新方法看部署方式：框架依赖型应用装新运行时并重启；自包含应用必须用新运行时重新构建发布——只升宿主机上的运行时不会修掉自带运行时的程序；容器部署要重新构建镜像；.NET 8 与 9 用户还要留意 ASP.NET Core 安装包的更新。先跑 dotnet --list-runtimes 查一下，低于上面三个版本号的就该升了。

相关阅读

• Brotli 解码漏洞扩散：Python、Envoy 相继中招，Node.js 已修复
• PHP 紧急安全更新：两个 9.2 分漏洞能未登录执行代码，站长今天就升 8.3.36

信息来源：.NET 官方博客（.NET 2026 年 10 月计划外安全更新）；文中判断为本站观点。