Microsoft libera atualização extra do .NET e completa correções de outubro

A exposição depende do aplicativo

A falha CVE-2026-111497 envolve o descompactador Brotli e pode permitir leitura ou corrupção da memória do processo. Segundo o comunicado técnico, a exposição exige processar dados Brotli controlados por um atacante.

A descompactação automática não vem ativada por padrão no ASP.NET Core e no HttpClient. Ter o pacote instalado, isoladamente, não comprova exposição. O .NET Framework não é afetado.

Fontes desta seção: [2]

Versões e correções entregues

As versões disponibilizadas são 8.0.33, 9.0.22, 10.0.14 e .NET 11 RC3. Esta última continua sendo uma candidata a lançamento.

A Microsoft também entrega ajustes pendentes em SocketAsyncEventArgs e no depurador Blazor WebAssembly. A publicação do NT Compatible repercute a distribuição extraordinária; as condições de exposição devem ser conferidas nos avisos oficiais.

Fontes desta seção: [1] [4]

O tipo de instalação muda a atualização

Aplicativos que usam o runtime da máquina — componente que executa programas .NET — precisam da versão corrigida de sua linha e de reinicialização. Os que incluem seu próprio runtime exigem nova compilação e publicação pelo desenvolvedor; contêineres também precisam ser reconstruídos e implantados.

O suporte do .NET 10 ressalta que instalar o runtime não troca as referências de pacotes NuGet do projeto.

Fontes desta seção: [1] [3]

Olhar do Garimpanda

Nossa interpretação é que a informação mais útil está no alcance da correção: atualizar a máquina e atualizar um aplicativo podem ser tarefas diferentes. O anúncio merece atenção de quem desenvolve ou administra sistemas .NET, mas não deve ser traduzido como comprometimento automático de todo PC com a plataforma instalada. Para quem apenas utiliza um programa, nossa orientação é conferir a atualização fornecida pelo desenvolvedor.