Quatre vulnérabilités corrigées, dont deux critiques

Les mises à jour publiées par Microsoft en octobre 2026 ciblent quatre failles distinctes dans les versions récentes de .NET. La plus critique, CVE-2026-111497, exploite un buffer overflow dans l’algorithme de décompression Brotli intégré à .NET. Selon le blog officiel de Microsoft, cette faille permet à un attaquant non authentifié de lire ou corrompre la mémoire du processus, ouvrant la voie à des fuites d’informations, des dénis de service ou des escalades de privilèges. Une deuxième faille, CVE-2026-114148, concerne les métadonnées de propriété des tarballs Linux de .NET 10 et 11, ainsi que les distributions ASP.NET Core pour .NET 8 et 9. Elle pourrait permettre à un attaquant local de modifier des fichiers et obtenir des droits élevés sur le système.

Une faille de débordement de mémoire dans Brotli pourrait permettre à un attaquant non authentifié de corrompre des données ou d'escalader des privilèges sur un système vulnérable.

Quels systèmes et applications sont concernés ?

Les correctifs concernent spécifiquement les applications utilisant des fonctionnalités de décompression Brotli via ASP.NET Core, les requêtes HTTP automatisées avec HttpClient, ou les API System.IO.Compression. Pour les utilisateurs de .NET 11 en version Release Candidate 2, Microsoft recommande une migration vers la RC3 pour bénéficier des correctifs. Les applications framework-dependent nécessitent une mise à jour du runtime, tandis que les versions self-contained doivent être recompilées et republiquées. Les utilisateurs de tarballs ASP.NET Core sous .NET 8 et 9 doivent télécharger une nouvelle version du runtime, disponible depuis le 19 octobre 2026.

Ce que cela change ici : risques pour les infrastructures critiques et les développeurs locaux

Au Bénin et en Afrique de l’Ouest, où les infrastructures numériques publiques et privées s’appuient souvent sur des stacks technologiques variées, ces failles pourraient affecter les administrations utilisant des frameworks .NET pour des services en ligne ou des applications internes. Par exemple, un site web gouvernemental ou une plateforme bancaire intégrant ASP.NET Core serait exposé à des attaques par déni de service ou à des fuites de données sensibles si les correctifs ne sont pas appliqués. Les développeurs locaux travaillant sur des projets utilisant Brotli pour la compression de données, notamment dans des environnements cloud ou des applications mobiles, devraient prioriser ces mises à jour pour éviter des compromissions. Les entreprises utilisant des distributions Linux de .NET pourraient aussi voir leurs systèmes vulnérables à des attaques locales visant à escalader des privilèges, un risque particulièrement sensible pour les environnements où les accès root sont partagés.

Autres correctifs inclus : mémoire corrompue et débogueur Blazor

Les mises à jour intègrent également des corrections pour deux autres vulnérabilités : CVE-2026-70197, une corruption de mémoire dans SocketAsyncEventArgs présente dans toutes les versions de .NET 8 à 11, et CVE-2026-102870, une faille dans le débogueur Blazor WebAssembly, limitée à .NET 10 et 11. Bien que moins médiatisées, ces failles pourraient, si exploitées, entraîner des instabilités critiques dans des applications temps réel ou des systèmes nécessitant une exécution fiable.

Recommandation officielle : mise à jour immédiate

Microsoft insiste sur l’urgence de ces correctifs. Dans un communiqué signé par Rahul Bhandari, responsable sécurité chez Microsoft, l’entreprise déclare : « Nous recommandons une mise à jour dès que possible. » Cette urgence s’explique par le potentiel d’exploitation à distance de certaines failles, notamment celle liée à Brotli, qui ne nécessite aucune authentification préalable. Pour les organisations, cela implique de planifier des fenêtres de maintenance pour appliquer ces correctifs sans perturber les services en production, tout en vérifiant les dépendances des applications critiques.