微軟發布.NET臨時安全更新，修補高風險Brotli解壓縮漏洞

微軟於10月25日發布跨版本.NET臨時更新。核心修補為CVE-2026-111497，問題源於Brotli解壓縮函式庫，若處理惡意資料可能越界寫入記憶體。ASP.NET Core處理請求、HttpClient自動解壓縮或呼叫相關API者可能受影響，但前兩項預設未啟用，.NET Framework亦不受影響。此外，更新修正了Linux封裝權限提升漏洞CVE-2026-114148，以及先前未完整處理的Windows通訊與Blazor WebAssembly偵錯器漏洞。微軟已釋出.NET 8.0.33、9.0.22、10.0.14及11 RC3，自含式應用程式與容器須重新建置部署。

值得帶走的重點

• CVE-2026-111497評分為8.1分，惡意Brotli資料可能導致越界記憶體寫入，但ASP.NET Core與HttpClient自動解壓縮預設未啟用。
• 微軟釋出.NET 8至11修補版本；共用執行環境需更新並重啟，自含式應用程式與容器則必須重新建置與部署。