.NET-Notfallupdate 10.0.14 schließt Brotli-Lücke, PowerShell zieht nach

Microsoft hat am Sonntag, 25. Oktober 2026, außerhalb des monatlichen Rhythmus Sicherheitsupdates für .NET 10.0.14, 9.0.22 und 8.0.33 sowie .NET 11 RC3 veröffentlicht. Neu geschlossen werden die Brotli-Lücke CVE-2026-111497 und das Linux-Rechteproblem CVE-2026-114148. Dazu liefert Microsoft korrigierte Fixes für CVE-2026-70197 und CVE-2026-102870 nach, die schon am Patchday vom 13. Oktober adressiert werden sollten, dort aber nicht vollständig behoben waren. Am selben Tag erschienen PowerShell 7.6.9, 7.5.13 und 7.4.22, deren einzige Änderung das Update auf die neuen .NET SDKs ist.

Betroffen sind Server und Anwendungen auf .NET 8, 9 und 10, vor allem ASP.NET-Core-Dienste und Programme, die Brotli-Daten aus fremden Quellen entpacken. Das klassische .NET Framework ist nicht betroffen. Wer Brotli-Dekompression aktiv nutzt, sollte heute patchen. Für alle anderen reicht ein zeitnahes Wartungsfenster in dieser Woche, weil Microsoft die Ausnutzung der Brotli-Lücke als wahrscheinlicher einstuft.

Was ist passiert?

Laut Release Notes ist 10.0.14 ein Out-of-band-Update, das vor allem CVE-2026-111497 schließt, einen Schreibzugriff außerhalb des Puffers im Brotli-Decoder (CVSS 8.1). Präparierte komprimierte Daten können zu Denial of Service, Datenabfluss oder Rechteausweitung führen. Die Lücke ist öffentlich bekannt, Microsoft meldet keine Ausnutzung, bewertet sie aber mit „Exploitation More Likely“.

CVE-2026-114148 (CVSS 7.8) betrifft falsche Dateibesitzer in Linux-Tarballs und erlaubt eine lokale Rechteausweitung. Bei .NET 8 und 9 sind die ASP.NET-Core-Runtime- und Targeting-Pack-Archive von Microsoft betroffen, bei .NET 10 und 11 nur aus dem Quellcode gebaute Distributionen.

Nachgereicht werden zwei Fixes vom 13. Oktober: CVE-2026-70197 (CVSS 8.1), eine Speicherbeschädigung in SocketAsyncEventArgs unter Windows, und CVE-2026-102870 (CVSS 8.8), Codeausführung über den Blazor-WebAssembly-Debugger auf Entwicklerrechnern. Microsoft hatte am 19. Oktober eingeräumt, dass CVE-2026-70197 noch nicht behoben war.

Wer ist betroffen?

Für die Brotli-Lücke gilt laut Advisory: Ein installiertes .NET allein macht eine Anwendung nicht angreifbar. Exponiert sind Anwendungen, die ASP.NET-Core-Request-Decompression mit Brotli einsetzen, bei HttpClient die automatische Dekompression mit DecompressionMethods.Brotli oder All aktiviert haben oder BrotliStream und BrotliDecoder direkt mit fremden Daten füttern. Beide Automatiken sind standardmäßig aus.

CVE-2026-70197 trifft nur Windows. CVE-2026-102870 betrifft Entwickler, die Blazor-WebAssembly-Apps mit den Paketen Microsoft.AspNetCore.Components.WebAssembly.Server oder .DevServer debuggen. CVE-2026-114148 betrifft nur Linux-Installationen aus den genannten Archiven, die übrigen .NET-Runtime- und SDK-Tarballs von Microsoft nennt das Advisory ausdrücklich nicht.

PowerShell 7 wird mit .NET gebaut, die neuen Versionen enthalten laut Release-Seite ausschließlich das SDK-Update. Ob PowerShell selbst über den Brotli-Pfad angreifbar ist, sagt Microsoft nicht. Windows PowerShell 5.1 basiert auf dem .NET Framework und ist damit nicht betroffen.

Wie kritisch ist das?

Hoch, aber nicht akut im Sinne laufender Angriffe. Die Brotli-Lücke ist aus dem Netz ohne Anmeldung erreichbar, sofern die Dekompression aktiv ist. Dieselbe Lücke im Brotli-Decoder hat bereits Updates in Node.js, Python und Envoy ausgelöst, Details sind also öffentlich. Die Linux-Lücke ist rein lokal, der Blazor-Fehler betrifft Entwicklungsumgebungen.

Was sollten Admins jetzt tun?

• Inventar prüfen: dotnet --list-runtimes und dotnet --list-sdks auf jedem Server ausführen. Ziel sind Microsoft.NETCore.App und Microsoft.AspNetCore.App in 10.0.14, 9.0.22 oder 8.0.33.
• Framework-abhängige Anwendungen: Runtime oder Hosting Bundle aktualisieren und die Dienste, IIS-Anwendungspools oder systemd-Units neu starten.
• Self-contained Anwendungen neu bauen und neu ausrollen, ein Runtime-Update auf dem Host ändert die mitgelieferte Laufzeit nicht.
• Container neu bauen. Bei mcr.microsoft.com/dotnet/aspnet zeigten die Tags 10.0 und 10.0.14 am 26. Oktober auf denselben Digest. Gepinnte Digests in Pipelines anpassen.
• Bis zum Update keine Brotli-Daten aus fremden Quellen entpacken. Microsoft zeigt im Advisory, wie sich br aus einer bestehenden Konfiguration entfernen lässt.
• Linux-Installationen aus betroffenen Tarballs in ein neues, leeres Verzeichnis mit tar --no-same-owner neu installieren. Drüberentpacken korrigiert die Besitzer nicht.
• PowerShell 7 per $PSVersionTable.PSVersion prüfen und auf 7.6.9, 7.5.13 oder 7.4.22 heben.

Einordnung für Unternehmen

Unangenehm ist weniger die Brotli-Lücke selbst als der nachgebesserte Patchday: Wer am 13. Oktober aktualisiert hat, war bei zwei CVEs nicht geschützt. Patch-Nachweise für .NET sollten daher an der Versionsnummer festgemacht werden, nicht am Datum. Zudem enden .NET 8 und .NET 9 laut Microsoft am 10. November 2026. Wer noch auf diesen Versionen läuft, sollte den Umstieg auf .NET 10 jetzt einplanen.

Passende Anleitungen auf S-EDV

• Brotli-Lücke CVE-2026-111497 in Python, Envoy und Istio
• PowerShell-Grundlagen für Windows-Admins
• Container-Updates mit Diun und WUD überwachen

Quellen

• .NET Announcements: October 2026 out-of-band security updates
• .NET 10.0.14 Release Notes
• .NET Blog: October 2026 Out-of-Band Security Updates
• Microsoft Security Response Center: CVE-2026-111497
• PowerShell 7.6.9 Release