Tim .NET Microsoft merilis pembaruan keamanan di luar jadwal pada 25 Oktober 2026 untuk menutup CVE-2026-111497, celah buffer overflow pada penggunaan algoritma dekompresi Brotli di .NET. Menurut advisori, penyerang tanpa autentikasi berpotensi membaca atau merusak memori proses, dengan akibat kebocoran informasi, denial of service, atau eskalasi hak akses. Microsoft meminta pembaruan dipasang secepatnya.
Siapa yang terdampak dan versi perbaikannya
Aplikasi terdampak bila memproses data terkompresi Brotli lewat dekompresi permintaan ASP.NET Core, dekompresi respons otomatis pada HttpClient, atau API Brotli di System.IO.Compression. Dua fitur pertama tidak aktif secara default, sehingga risiko terbesar ada pada aplikasi yang sengaja mengaktifkannya. Microsoft menyatakan .NET Framework tidak terdampak. Advisori tidak memuat rentang nomor versi yang rentan.
Versi yang sudah diperbaiki adalah .NET 8.0.33, .NET 9.0.22, .NET 10.0.14, dan .NET 11 Release Candidate 3. Pengguna RC2 wajib pindah ke RC3. Kasus Brotli ini sama dengan celah yang sebelumnya sudah memaksa PHP merilis ulang paket Windows-nya, jadi tim yang menjalankan beberapa tumpukan teknologi perlu memeriksa semuanya.
Rilis yang sama juga memuat CVE-2026-114148, yaitu metadata kepemilikan berkas yang tidak aman pada tarball .NET tertentu di Linux. Penyerang lokal bisa memodifikasi berkas dan menaikkan hak akses. Di .NET 10 dan 11 hanya tarball source-build yang kena, sedangkan di .NET 8 dan 9 tarball ASP.NET Core ikut terdampak. Microsoft juga menerbitkan ulang advisori CVE-2026-70197 (korupsi memori pada SocketAsyncEventArgs) dan CVE-2026-102870 (debugger Blazor WebAssembly di .NET 10 dan 11), karena rilis 13 Oktober belum sepenuhnya menyelesaikan masalahnya.
Langkah yang perlu diambil
Langkahnya bergantung pada cara aplikasi dipasang. Aplikasi framework-dependent cukup memakai runtime yang sudah diperbarui, lalu direstart. Aplikasi self-contained harus dibangun ulang dan dipublikasikan ulang, karena memasang runtime baru di host tidak mengubah runtime yang sudah terbundel di dalam aplikasi. Kontainer harus dibangun ulang dan di-deploy ulang dengan image .NET terbaru. Pengguna tarball ASP.NET Core di .NET 8 dan 9 perlu memasang tarball runtime yang baru, meski tidak membangun dari source.
Untuk memeriksa runtime yang terpasang di server, jalankan perintah dotnet –list-runtimes. Aplikasi self-contained dan kontainer perlu diperiksa satu per satu, sebab perintah itu tidak melihat isi bundelnya. Microsoft tidak menyebut solusi sementara resmi. Bagi tim yang belum bisa menambal hari ini, daftar aplikasi yang mengaktifkan dekompresi Brotli menjadi titik awal yang paling berguna untuk menentukan urutan pekerjaan.
Sumber: .NET Blog Microsoft dan BleepingComputer. Gambar: Microsoft .NET Blog.