.NET 8 und .NET 9 ohne Support: letzte Updates 8.0.34 und 9.0.23, .NET 11 erschienen

Nach dem 10. November 2026 bekommen .NET 8 und .NET 9 keine Updates mehr. Microsoft hat am Patchday die letzten Versionen 8.0.34 und 9.0.23 veröffentlicht und gleichzeitig .NET 11 freigegeben. Unterstützt werden jetzt nur noch .NET 10 (LTS, Version 10.0.15) und .NET 11, beide bis zum 14. November 2028.

Betroffen sind alle Server und Container, auf denen Anwendungen mit .NET 8 oder 9 laufen, unter Windows wie unter Linux, außerdem IIS-Server mit dem Hosting Bundle. Das letzte Update gehört sofort eingespielt, weil es noch Sicherheitslücken schließt. Für den Umstieg auf .NET 10 braucht es ein Wartungsfenster mit Tests, denn ein neues SDK oder eine neue Runtime stellt eine Anwendung nicht automatisch auf .NET 10 um.

Was ist passiert?

In seiner Support-Übersicht führt Microsoft .NET 8 und .NET 9 jetzt unter den nicht mehr unterstützten Versionen, mit dem 10. November 2026 als Ende des Supports. Laut Richtlinie erhalten LTS-Versionen drei Jahre und STS-Versionen zwei Jahre Support. Deshalb enden .NET 8 (LTS, erschienen im November 2023) und .NET 9 (STS, erschienen im November 2024) am selben Tag.

Die November-Updates schließen laut .NET-Blog eine Reihe von Lücken in .NET, ASP.NET Core und den Visual-Studio-Werkzeugen. Microsofts Tabelle nennt 25 CVE-Einträge für .NET 8 bis 11, die meisten betreffen alle vier Versionen. Darunter sind eine Rechteausweitung in ASP.NET Core mit CVSS 9.0 (CVE-2026-114146), mehrere Denial-of-Service-Lücken mit CVSS 7.5, die ohne Anmeldung über das Netzwerk auslösbar sind, und fünf Codeausführungslücken in Visual Studio. Laut Microsoft wurde keine der im November gemeldeten Lücken bisher ausgenutzt.

Für wen ist das relevant?

• Betreiber von ASP.NET-Core-Anwendungen, Diensten und Containern mit .NET 8 oder 9.
• Windows-Server mit IIS und dem ASP.NET Core Hosting Bundle.
• Entwickler und Build-Server mit einem SDK der Reihen 8.0 oder 9.0 (letzte Stände 8.0.428 und 8.0.134 sowie 9.0.321 und 9.0.124).
• Nicht betroffen vom Supportende: .NET 10 und .NET 11.

Wo reicht das Runtime-Update nicht?

Zwei Lücken lassen sich nicht allein mit der neuen Runtime schließen. Für CVE-2026-118747 muss das NuGet-Paket System.Formats.Cbor aktualisiert werden. In der .NET-9-Paketlinie steckt die Korrektur laut Microsoft in Version 9.0.24, nicht in 9.0.23. Danach sind die betroffenen Anwendungen neu zu bauen und auszurollen. CVE-2026-118741 betrifft die Vorlagen und den Scaffolding-Code von ASP.NET Core Identity. Hier müssen die Vorlagenpakete oder das SDK aktualisiert und bereits erzeugter Code korrigiert, neu gebaut und ausgerollt werden.

Was sollten Admins jetzt tun?

• Inventar: Mit dotnet --list-runtimes und dotnet --list-sdks auf Servern und Build-Rechnern die installierten Versionen erfassen, Container-Images nach Basis-Tag prüfen.
• Letztes Update einspielen: .NET 8 auf 8.0.34, .NET 9 auf 9.0.23, .NET 10 auf 10.0.15. Die Container-Images hat Microsoft ebenfalls aktualisiert.
• Anwendungen mit System.Formats.Cbor oder generiertem Identity-Code gezielt prüfen und neu bauen.
• Umstieg planen: Microsoft empfiehlt .NET 10, wenn der längere LTS-Zyklus wichtig ist, oder .NET 11 für neue Funktionen. Vor dem Wechsel Tests unter realer Last, Container-Basisimages, native Abhängigkeiten und Zielsysteme prüfen.
• Bei Software von Drittanbietern nachfragen, wann eine Version auf .NET 10 erscheint.

Einordnung für Unternehmen

Das Supportende trifft vor allem Eigenentwicklungen und Fachanwendungen, die seit Jahren auf .NET 8 laufen. Weil .NET 10 ebenfalls eine LTS-Version ist, ist der Sprung von 8 auf 10 der naheliegende Weg. Bis die Umstellung steht, laufen Anwendungen ohne weitere Sicherheitskorrekturen. Wer noch nicht geplant hat, sollte das Inventar in dieser Woche erledigen.

Passende Anleitungen auf S-EDV

• .NET-Notfallupdate 10.0.14 schließt Brotli-Lücke, PowerShell zieht nach
• Windows-Patchday November 2026: KB5132061, ausgenutzte Outlook-Lücke und NTLM

Quellen

• Microsoft .NET-Blog: Servicing-Updates November 2026
• Microsoft .NET-Blog: Ankündigung von .NET 11
• Microsoft: Support-Richtlinie für .NET
• Microsoft: Release-Notes zu .NET 8.0.34
• Deskmodder: .NET 11 freigegeben, .NET 8 und 9 am Ende