Microsoft ha publicat unes actualitzacions de seguretat .NET fora de cicle (out-of-band) que afecten .NET 8, .NET 9, .NET 10 i la Release Candidate 3 de .NET 11. No és el pedaç mensual habitual: quan el fabricant trenca el seu calendari i recomana actualitzar "al més aviat possible", convé escoltar. Si la teva empresa té aplicacions a mida, un portal de clients, una API d’integració amb l’ERP o una app interna construïda sobre .NET, això t’afecta de ple.
En aquest article resumim què s’ha publicat, per què importa per a una empresa privada que depèn de programari propi i, sobretot, quins passos pràctics fer aquesta setmana. La font original és el blog oficial de .NET de Microsoft: ".NET October 2026 Out-of-Band Security Updates" (devblogs.microsoft.com/dotnet).
Què ha publicat Microsoft
Segons l’avís oficial, la publicació corregeix dues vulnerabilitats noves i torna a emetre’n dues més que no havien quedat completament resoltes en el lliurament del 13 d’octubre de 2026.
- CVE-2026-111497 — Brotli. Un desbordament de memòria intermèdia en l’ús que fa .NET de l’algorisme de descompressió Brotli. Pot permetre a un atacant no autenticat llegir o corrompre memòria del procés, amb risc de divulgació d’informació, denegació de servei o elevació de privilegis. Afecta totes les plataformes.
- CVE-2026-114148 — propietat de fitxers en tarballs de Linux. Metadades de propietat insegures en determinats paquets
.tarque podrien permetre a un atacant local modificar fitxers i escalar privilegis. Només Linux. - CVE-2026-70197 (corrupció de memòria a
SocketAsyncEventArgs) i CVE-2026-102870 (depurador de Blazor WebAssembly) es tornen a publicar perquè el lliurament anterior no els solucionava del tot.
Dos matisos importants de l’avís. Primer: .NET Framework no està afectat. Segon: les rutes més exposades a Brotli —la descompressió de peticions a ASP.NET Core i la descompressió automàtica de respostes a HttpClient— no estan activades per defecte. Que no estigui activat per defecte no vol dir que tu no ho hagis activat: cal comprovar-ho, no suposar-ho.
Per què aquestes actualitzacions de seguretat .NET afecten el teu negoci
Una vulnerabilitat de descompressió sona molt tècnica, però el risc s’entén de pressa en termes de negoci: l’atacant no necessita credencials, només li cal enviar dades comprimides manipulades a un servei que les processi. Si aquest servei és el teu portal de comandes, la teva passarel·la d’integració amb proveïdors o l’API que alimenta la teva aplicació mòbil, l’impacte va des de la caiguda del servei fins a l’exposició de dades.
El patró que veiem una vegada i una altra no és la manca d’intenció, sinó la manca d’inventari. Moltes empreses saben quin ERP tenen, però no saben amb precisió quantes aplicacions pròpies tenen en producció, sobre quina versió de .NET funcionen i qui és responsable d’actualitzar-les. Quan arriba un avís com aquest, es perden dies només a esbrinar-ho. I en seguretat, els dies compten.
On viu realment el teu runtime (el que més s’oblida)
Aquí hi ha el detall que sol deixar sistemes sense pedaçar. Actualitzar no significa el mateix en tots els escenaris:
Aplicacions dependents del framework
Instal·la el runtime actualitzat de la versió que utilitza la teva aplicació i reinicia. És el cas més senzill.
Aplicacions autocontingudes
No n’hi ha prou amb actualitzar el servidor: aquestes aplicacions porten el seu propi runtime incrustat. Cal recompilar i tornar a publicar amb el runtime corregit. Si només actualitzes la màquina, continuaràs executant codi vulnerable.
Contenidors
Cal reconstruir i redesplegar fent servir les imatges actualitzades de .NET. Una imatge construïda la setmana passada continuarà arrossegant el runtime antic.
Linux: tarballs i source-build
Per a .NET 10 i .NET 11, el problema de propietat afecta només els tarballs de source-build. Per a .NET 8 i .NET 9 també afecta les distribucions d’ASP.NET Core obtingudes via tarball, fins i tot si no compiles .NET des del codi font. És un escenari fàcil de passar per alt en servidors heretats.
Les versions corregides publicades són 8.0.33, 9.0.22, 10.0.14 i .NET 11 RC3 (qui estigui en RC2 ha de passar a RC3). Per veure què tens instal·lat en una màquina, l’ordre de sempre:
dotnet --list-runtimes
Recorda que les aplicacions autocontingudes i els contenidors no hi apareixeran: es revisen per separat.
Pla d’acció en cinc passos
- Inventaria. Llista aplicacions pròpies en producció, versió de .NET, model de desplegament (dependent, autocontinguda, contenidor) i responsable.
- Prioritza per exposició. Primer el que rep trànsit d’internet o de tercers: portals, APIs públiques, e-commerce, integracions amb clients i proveïdors.
- Comprova l’ús de Brotli. Revisa si tens activada la descompressió de peticions a ASP.NET Core, la descompressió automàtica a
HttpCliento ús directe de les APIs deSystem.IO.Compression. - Actualitza i verifica. Aplica el runtime corregit, recompila allò autocontingut, reconstrueix imatges i confirma la versió després del desplegament. Passa primer per un entorn de proves.
- Documenta. Deixa constància de què s’ha pedaçat, quan i qui ho ha validat. La propera vegada trigaràs hores en lloc de dies.
De pedaç urgent a manteniment planificat
Les publicacions fora de cicle continuaran existint. La diferència entre una empresa que les absorbeix sense sobresalts i una altra que entra en pànic està en tres coses: un inventari viu del programari propi, un entorn de proves on validar abans de tocar producció i un responsable clar del cicle de vida de cada aplicació. Res d’això és exòtic; és higiene bàsica, i estalvia molts diners el dia que cal.
A Tisa fa des del 1987 que desenvolupem i mantenim aplicacions a mida per a empresa privada —retail, distribució, construcció, indústria alimentària, serveis— a més d’implantar Business Central i Power Platform. Dins de la nostra línia de desenvolupament a mida acompanyem l’evolució i el manteniment del programari que ja tens, i en ciberseguretat bàsica treballem l’avaluació de riscos i els plans de resposta perquè un avís com aquest sigui un tràmit i no una urgència.
Necessites ajuda per aplicar aquestes actualitzacions de seguretat .NET?
Si no tens clar quines versions de .NET hi ha funcionant a la teva organització, qui manté cada aplicació o com validar que el pedaç ha quedat ben aplicat, parlem-ne. Fem una valoració inicial sense compromís i et diem amb franquesa què és urgent i què pot esperar.
Escriu-nos a info@grupotisa.com, truca’ns al (+34) 971 305 885 o visita grupotisa.com.
Font: Microsoft, ".NET October 2026 Out-of-Band Security Updates", blog oficial de .NET (devblogs.microsoft.com/dotnet). Per al detall complet de cada CVE i els productes afectats, consulta els avisos de seguretat enllaçats a la publicació original.
