ニュース

「Brotli」の脆弱性「HTTP2Shell」はMicrosoft製品にも影響、「.NET」に定例外更新

「Visual Studio」、「PowerShell」でもセキュリティアップデート

樽井秀人

2026年10月26日 15:21

「.NET」の定例外（OOB）セキュリティ更新

　米Microsoftは10月25日（現地時間）、「.NET 8」「.NET 9」「.NET 10」向けに定例外（out-of-band：OOB）のセキュリティ更新をリリースした。次期バージョン「.NET 11」のリリース候補版（RC3）も公開されており、同社はできるだけ早いアップデートを推奨している。

.NET 8：v8.0.33
.NET 9：v9.0.22
.NET 10：v10.0.14
.NET 11：Release Candidate 3（RC2のユーザーはRC3への更新が必要）

　また、「Visual Studio」や「PowerShell」といった関連製品でもセキュリティアップデートが実施されている。

「Microsoft Visual Studio 2026」v18.11.2
「Microsoft Visual Studio 2022」v17.14.43
「Microsoft Visual Studio 2019」v16.11.61
「PowerShell」v7.6.9（.NET 10ベース）
「PowerShell」v7.5.13（.NET 9ベース）
「PowerShell」v7.4.22（.NET 8ベース）

　今回の更新では、Googleのデータ圧縮形式「Brotli」の展開処理で見つかったメモリ破壊の脆弱性（CVE-2026-111497）が対処された。これは「Node2Shell」「HTTP2Shell」とも呼ばれている問題で、悪用されると、認証されていない攻撃者にプロセスのメモリを読み取られたり破壊されたりして、情報漏洩やサービス拒否（DoS）、権限昇格につながる可能性がある。

　「.NET」にもすべてのプラットフォーム（Windows/Mac/Linux）で「Brotli」が採用されており、「ASP.NET Core」のリクエスト展開、「HttpClient」によるレスポンスの自動展開、「System.IO.Compression」の「Brotli」APIを通じて、「Brotli」で圧縮されたデータを処理しているアプリケーションは影響を受ける可能性がある。

　なお、Windows専用の「.NET Framework」は影響を受けない。

　また、「.NET」では「Brotli」のリクエスト展開とレスポンスの自動展開が既定で無効。明示的に有効化していない限り問題はないが、「System.IO.Compression」の「Brotli」APIをアプリやライブラリが直接利用している場合は影響を受ける可能性がある。アプリ開発者は自身でチェックすべきだろう。

　そのほかにも、Linux環境に影響する脆弱性「CVE-2026-114148」が併せて修正されているとのこと。一部のtarballに含まれる所有権のメタデータが安全ではなく、ローカルの攻撃者にファイルを改竄されて権限を昇格されるおそれがあった。10月13日の更新では修正が不十分だった「CVE-2026-70197」（SocketAsyncEventArgsのメモリ破壊）と「CVE-2026-102870」（Blazor WebAssemblyデバッガー）にも、追加の修正が施されているという。

　これらの脆弱性に対処するには、更新済みの「.NET」ランタイムをOSにインストールして、アプリケーションを再起動すればよい。ランタイムを同梱した自己完結型アプリケーションの場合は、OSに新しいランタイムをインストールしても効果がない。更新済みのランタイムで再ビルド・再発行する必要がある。コンテナーも、更新済みの「.NET」コンテナーイメージで再ビルド・再デプロイが必要だ。

　インストール済みのランタイムは、「dotnet --list-runtimes」コマンドで確認できる。

Amazonで購入

「.NET」関連商品 Amazonで購入