Microsoft 25 октября выпустила внеплановые обновления, закрывающие уязвимость CVE-2026-111497 в декодере Brotli. Брешь позволяет записывать данные за пределы выделенной памяти, из-за чего специально подготовленный поток может вызвать сбой, раскрыть содержимое памяти или повысить привилегии без авторизации.
Ошибку обнаружила команда Imperva Red Team, и затронула она не только .NET, но и Node.js, Python, Bun и другие платформы. Из-за этого администраторам нужно проверять не только системные пакеты, но и зависимости отдельных программ.
В .NET риск возникает не везде: по умолчанию ASP.NET Core и HttpClient не распаковывают Brotli автоматически, а .NET Framework уязвимость не затрагивает. Однако приложениям с собственной копией среды выполнения и контейнерам одного обновления недостаточно, поэтому их нужно пересобрать на основе исправленных версий.
