Microsoft, NET 8, NET 9.NET 10 için olağan dışı güvenlik güncellemeleri yayınlayarak kritik bellek taşması hatalarına karşı önlem. Güncellemeler, tüm platformları etkileyen Brotli veri açma güvenlik açığı CVE-2026-111497 Linux sistemlerini ilgilendiren CVE-2026-114148 numaralı güvenlik sorununu gideriyor. Şirket, uygulama derleme ortamlarının güncel sürümlere geçirilmesini önerirken NET 11 Release Candidate 3 sürümünü duyurdu.
Microsoft, Kritik Bellek Taşması Açığını GideriyorMicrosoft’un.NET güvenlik yamaları, Brotli sıkıştırma algoritmasının veri açma işlemlerinde ortaya çıkan ciddi bellek taşması sorununu kapatıyor. CVE-2026-111497 olarak tanımlanan açık, kimlik doğrulaması yapmamış saldırganların işlem belleğini okumasına veya bozmasına yol açabilecek güvenlik riski oluşturuyor. Söz konusu durum, bilgi ifşası, hizmet engelleme saldırıları ya yetki yükseltme gibi sonuçlara neden olabiliyor.
Güvenlik açığı, yalnızca belirli işletim sistemiyle sınırlı kalmadığı için Windows, Linux desteklenen platformlardaki NET kurulumlarını ilgilendiriyor. Brotli sıkıştırılmış verileri işleyen uygulamalar, özellikle ilgili veri açma işlevlerini kullanmaları durumunda risk altında bulunuyor.
ASP.NET Core üzerinden gelen isteklerin otomatik olarak sıkıştırılmış verilerden arındırılması, HttpClient bileşeninin yanıtları otomatik açması System.IO.Compression içindeki Brotli API’leri, etkilenen kullanım alanları arasında yer alıyor. nedenle yalnızca uygulama sunucusunu güncellemek yerine uygulamanın kullandığı NET çalışma zamanı sürümünün kontrol edilmesi gerekiyor.
CVE-2026-114148 numaralı ikinci güvenlik sorunu, etkilenen NET tarball paketlerindeki güvenli olmayan sahiplik meta verilerinden kaynaklanıyor. Yerel erişim elde etmiş saldırgan, sorundan yararlanarak dosyaları değiştirebiliyor daha yüksek ayrıcalıklar kazanabiliyor. Açığın etkisi Linux sistemleriyle sınırlı kalıyor.
.NET 10.NET 11 tarafında sorun, çevrim içi olarak dağıtılan koddan derleme paketlerini ilgilendiriyor.NET 8.NET 9 sürümlerinde ise.NET Core tarball paketleri üzerinden dağıtılan bileşenler kapsamda bulunuyor. ayrıntı, NET’i kodundan derlemeyen bazı.NET Core kullanıcılarının güncellemeyi uygulaması gerektiğini gösteriyor.
Microsoft, yeni yayın kapsamında daha önce 13 Ekim’ duyurulan iki güvenlik sorununa yönelik düzeltmeleri yeniden dağıtıyor. CVE-2026-70197, SocketAsyncEventArgs bileşenindeki bellek bozulması sorununu kapsarken CVE-2026-102870, Blazor WebAssembly hata ayıklayıcısıyla ilgili açığı tanımlıyor. Şirket, önceki güncellemelerin söz konusu sorunları bütünüyle gidermemesi nedeniyle düzeltmeleri yeniden yayınladığını belirtiyor.
Microsoft, güvenlik yamalarının yalnızca yüklenmesini değil, uygulamaların dağıtım yöntemine uygun biçimde güncellenmesini tavsiye ediyor. İzlenecek adımlar, uygulamanın ılan çalışma zamanına yoksa kendi içinde paketlenmiş çalışma zamanına dayandığına göre değişiyor.
- Framework-dependent uygulamalar: Uygulamanın hedeflediği NET sürümüne ait güncel çalışma zamanı kurulmalı, ardından uygulama yeniden başlatılmalı.
- Self-contained uygulamalar: Güncel çalışma zamanı kullanılarak uygulama yeniden derlenmeli yeniden yayınlanmalı. Ana bilgisayara yeni çalışma zamanı kurmak, uygulamayla birlikte paketlenmiş eski çalışma zamanını değiştirmiyor.
- Konteyner tabanlı dağıtımlar: Güncel NET konteyner imajlarıyla yeni imaj oluşturulmalı dağıtım yeniden yapılmalı.
- koddan derleme yapan kullanıcılar: İlgili NET sürümüne ait güncel derleme paketleri alınmalı, paketler yeniden oluşturulmalı.
- .NET 8.NET 9.NET Core tarball kullanıcıları: koddan derleme yapılmasa bile yenilenmiş.NET Core Runtime tarball paketi kurulmalı.
adımların tamamlanması, uygulamanın dağıtım biçimine bağlı olarak eski savunmasız bileşenlerin kullanımda kalmasını önlemeye yardımcı oluyor.
Yöneticiler, sistemde yüklü NET çalışma zamanlarını dotnet --list-runtimes komutuyla listeleyebiliyor. Çıktı, hangi sürümlerin kurulu olduğunu göstererek güncelleme gereksiniminin belirlenmesini kolaylaştırıyor. Kurulu sürümün listelenmesi tek başına uygulamanın güvenli olduğunu kanıtlamadığı için yöneticilerin uygulama paketlerini, konteyner imajlarını dağıtım ortamlarını incelemesi gerekiyor.
Microsoft’un önerisi, etkilenen sürümlerin gecikmeden güncellenmesi uygulamaların yeni çalışma zamanı ya paketlerle yeniden dağıtılması yönünde. Güncelleme sırasında sorun yaşayan geliştiriciler, geri bildirimlerini NET sürüm geri bildirim kayıtları üzerinden iletebiliyor.
