Microsoftが.NET 8／9／10と11 RC3の定例外セキュリティ更新を公開。CVE-2026-70197とCVE-2026-102870は10月13日の修正が不十分で、再修正が必要。
30秒でわかる / THE SIGNAL
Microsoftが.NET 8／9／10と11 RC3の定例外セキュリティ更新を公開。CVE-2026-70197とCVE-2026-102870は10月13日の修正が不十分で、再修正が必要。
10月25日、Microsoftが定例外の修正版を公開
Microsoftは2026年10月25日、.NET 8.0.33、9.0.22、10.0.14、11 Release Candidate 3を公開した。通常の月例更新とは別のセキュリティ対応で、影響を受けるアプリケーションとビルド環境の迅速な更新を推奨している。一次情報：https://github.com/dotnet/announcements/issues/496
一度の更新では解消していなかった2件
10月13日に公開された修正では、CVE-2026-70197（WindowsのSocketAsyncEventArgsに関連するメモリ破損）とCVE-2026-102870（スタンドアロンBlazor WebAssemblyデバッガーパッケージ）が十分に修正されていなかった。今回の更新で修正を補完した。すべての.NETアプリが同じ条件で影響を受けるわけではない。CVE-2026-70197はIPv4とIPv6のデータグラムソケットでSocketAsyncEventArgsを再利用する条件が重要だ。
修正版とアプリ運用への注意
更新先は.NET 8.0.33、9.0.22、10.0.14、11.0.0-rc.3。対応SDKも適用し、アプリケーションを再起動する。自己完結型（self-contained）で配布したアプリは更新後の再ビルドと再デプロイが必要。CVE-2026-102870は共有ランタイム更新だけで済まず、影響するスタンドアロンServer／DevServerパッケージ参照の更新が必要だ。公式：https://github.com/dotnet/announcements/issues/496
ほかの修正と適用範囲
今回の定例外更新にはCVE-2026-111497（Brotliデコーダー）およびCVE-2026-114148（Linux .NET tarballのファイル所有権）への対応も含まれる。後者は配布物・導入方法によって対応が異なり、更新アーカイブの取得だけでは既存の不適切な所有権が自動的に修復されない。既報の各記事も参照したい。
WORK SIGNALの視点｜修正済みという表示だけで安心しない
セキュリティ更新では『更新を実行した』だけでなく、対象ランタイム、パッケージ参照、配布済みアプリ、再起動・再デプロイの各段階まで確認する必要がある。今回は修正が不十分だったという公式な再告知があり、パッチ適用状況を再点検する価値が高い。実環境での悪用が確認されたとは今回の公式発表から断定できない。