Microsoft hat außerplanmäßige Sicherheitsaktualisierungen für mehrere Versionen seiner Entwicklungsplattform .NET bereitgestellt. Die Notfall-Patches adressieren die Versionen .NET 8, .NET 9, .NET 10 sowie .NET 11 RC3, um eine gravierende Sicherheitslücke in der Dekomprimierungskomponente Brotli zu schließen. Das Unternehmen reagiert damit auf ein übergreifendes Problem, das plattformübergreifend Risiken für Anwendungen birgt.
Pufferüberlauf im Brotli-Decoder gefährdet Prozessspeicher
Im Zentrum der Veröffentlichung steht die Schwachstelle CVE-2026-111497. Dabei handelt es sich um einen Pufferüberlauf bei der Brotli-Dekomprimierung, der sämtliche unterstützten Plattformen betrifft.
Ein unauthentifizierter Angreifer kann diesen Fehler ausnutzen, um Speicherbereiche eines laufenden Prozesses auszulesen oder zu manipulieren. Als mögliche Konsequenzen nennt der Hersteller den unerlaubten Zugriff auf vertrauliche Informationen, Denial-of-Service-Zustände sowie die Ausweitung von Zugriffsrechten.
Innerhalb des .NET-Ökosystems sind spezifische Schnittstellen betroffen: Neben den Brotli-APIs unter System.IO.Compression betrifft die Lücke die Request-Dekomprimierung in ASP.NET Core sowie die automatische Response-Dekomprimierung im HttpClient. Beide Funktionen sind standardmäßig deaktiviert. Das ältere .NET Framework ist nach Angaben von Microsoft nicht von dem Problem betroffen.
Die Schwachstelle wurde am 25.10.2026 für .NET und Visual Studio mit dem CVSS-v3.1-Wert 8.1 als kritisch eingestuft, während Microsoft sie für PowerShell als wichtig bewertet. Zwar stuft der Konzern eine Ausnutzung als wahrscheinlicher ein, ein aktiver Missbrauch vor Bekanntwerden wurde jedoch nicht bestätigt.
Entdeckt wurde der Fehler durch OpenAI Codex Security. Im Google-CVE-Eintrag wird CVE-2026-111497 mit einem CVSS-v4-Wert von 9.2 und als kritisch geführt; das Sicherheitsunternehmen Imperva demonstrierte zudem eine Code-Ausführung auf dem offiziellen Linux-arm64-Image von Node.js 24.22.0.
Angesichts der zunehmenden Bedrohungen durch kritische Schwachstellen ist eine proaktive Absicherung der IT-Infrastruktur für Unternehmen unerlässlich. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Cyberbedrohungen und zeigt auf, wie Sie Sicherheitslücken effektiv schließen. Gratis-E-Book: Cyber-Sicherheit für Ihr Unternehmen
Breiteres Problem im Open-Source-Ökosystem
Der Fehler geht auf die Upstream-Bibliothek Brotli von Google in den Versionen 1.0.3 bis 1.2.0 zurück und wurde in den Versionen Brotli 1.0.10, 1.1.1 und 1.2.1 behoben.
Andere Softwareprojekte hatten bereits reagiert: Node.js erhielt am 21.10.2026 eine Aktualisierung, zudem wurden in der Vorwoche zwei Python-Pakete (Brotli 1.2.1 und brotlicffi 1.2.1.0) korrigiert. Laut einem Tracker weisen verschiedene Softwareprojekte wie DuckDB, Apache Arrow, 7-Zip-zstd, p7zip und EDK II die Schwachstelle weiterhin ungepatcht auf.
Parallel zu den Laufzeitumgebungen hat Microsoft am 25.10.2026 auch Anpassungen an seinen Entwicklungswerkzeugen vorgenommen. Entsprechende Sicherheitsupdates erschienen für PowerShell 7.6.9, 7.5.13 und 7.4.22 sowie für Visual Studio 2026 (Version 18.11.2), Visual Studio 2022 (Version 17.14.43) und Visual Studio 2019 (Version 16.11.61).
Wer die Sicherheit seiner geschäftlichen Systeme stärken möchte, muss auch die gesetzlichen Anforderungen und aktuellen Trends im Blick behalten. In diesem kostenlosen Report erfahren IT-Verantwortliche, wie sie ihr Unternehmen proaktiv schützen können, bevor es zu spät ist. Kostenlosen Cyber-Security-Report jetzt herunterladen
Zusätzliche Korrekturen und Handlungsbedarf für Entwickler
Neben der Brotli-Thematik beheben die veröffentlichten Pakete weitere Sicherheitsmängel. Mit CVE-2026-114148 (CVSS 7.8, Einstufung wichtig) wurde eine Schwachstelle bei unsicheren Ownership-Metadaten in Linux-Tarballs geschlossen, die eine lokale Rechteausweitung ermöglicht. Bei .NET 10 und 11 betrifft dies ausschließlich Source-Build-Tarballs, bei .NET 8 und 9 zusätzlich auch ASP.NET-Core-Tarballs.
Zudem publizierte Microsoft am 25.10.2026 erneute Hinweise zu zwei älteren Schwachstellen, da das vorangegangene Update vom 13.10.2026 unvollständig war. Dies betrifft CVE-2026-70197 (CVSS 8.1), einen Out-of-Bounds-Schreibfehler bei SocketAsyncEventArgs unter Windows über IPv4- und IPv6-Datagramme, der CoreCLR und Mono in den Versionen .NET 8 bis 11 berührt.
Ebenfalls nachgebessert wurde CVE-2026-102870 (CVSS 8.8), eine Schwachstelle für Remote-Code-Ausführung im Blazor-WASM-Debugger durch fehlerhaftes Escaping in dynamisch erzeugtem C#-Code für .NET 10 und 11.
Die behobenen Stände lauten .NET 8.0.33, 9.0.22, 10.0.14 sowie .NET 11 Build 11.0.0-rc.3, wobei Nutzer der Vorabversion RC2 zwingend auf RC3 wechseln müssen. Entwickler müssen eigenständig lauffähige Anwendungen neu kompilieren und verteilen. Für Blazor-WASM-Projekte sind explizite NuGet-Aktualisierungen der Pakete Microsoft.AspNetCore.Components.WebAssembly.Server und DevServer erforderlich.
Für Nutzer von .NET 8 und .NET 9 drängt zudem die Zeit, da beide Versionen am 10.11.2026 das Ende ihrer offiziellen Unterstützung erreichen, während die Long-Term-Support-Version .NET 10 bis zum 14.11.2028 unterstützt wird.