Microsoft ha publicado unas actualizaciones de seguridad .NET fuera de ciclo (out-of-band) que afectan a .NET 8, .NET 9, .NET 10 y a la Release Candidate 3 de .NET 11. No es el parche mensual habitual: cuando el fabricante rompe su calendario y recomienda actualizar "lo antes posible", conviene escuchar. Si tu empresa tiene aplicaciones a medida, un portal de clientes, una API de integración con el ERP o una app interna construida sobre .NET, esto te toca de lleno.
En este artículo resumimos qué se ha publicado, por qué importa para una empresa privada que depende de software propio y, sobre todo, qué pasos prácticos dar esta semana. La fuente original es el blog oficial de .NET de Microsoft: ".NET October 2026 Out-of-Band Security Updates" (devblogs.microsoft.com/dotnet).
Qué ha publicado Microsoft
Según el aviso oficial, la publicación corrige dos vulnerabilidades nuevas y vuelve a emitir otras dos que no habían quedado completamente resueltas en la entrega del 13 de octubre de 2026.
- CVE-2026-111497 — Brotli. Un desbordamiento de búfer en el uso que hace .NET del algoritmo de descompresión Brotli. Puede permitir a un atacante no autenticado leer o corromper memoria del proceso, con riesgo de divulgación de información, denegación de servicio o elevación de privilegios. Afecta a todas las plataformas.
- CVE-2026-114148 — propiedad de ficheros en tarballs de Linux. Metadatos de propiedad inseguros en determinados paquetes
.tarque podrían permitir a un atacante local modificar ficheros y escalar privilegios. Solo Linux. - CVE-2026-70197 (corrupción de memoria en
SocketAsyncEventArgs) y CVE-2026-102870 (depurador de Blazor WebAssembly) se vuelven a publicar porque la entrega anterior no los solucionaba del todo.
Dos matices importantes del aviso. Primero: .NET Framework no está afectado. Segundo: las rutas más expuestas a Brotli —la descompresión de peticiones en ASP.NET Core y la descompresión automática de respuestas en HttpClient— no están activadas por defecto. Que no esté activado por defecto no significa que tú no lo hayas activado: hay que comprobarlo, no suponerlo.
Por qué estas actualizaciones de seguridad .NET afectan a tu negocio
Una vulnerabilidad de descompresión suena muy técnica, pero el riesgo se entiende rápido en términos de negocio: el atacante no necesita credenciales, le basta con enviar datos comprimidos manipulados a un servicio que los procese. Si ese servicio es tu portal de pedidos, tu pasarela de integración con proveedores o la API que alimenta tu aplicación móvil, el impacto va desde la caída del servicio hasta la exposición de datos.
El patrón que vemos una y otra vez no es la falta de intención, sino la falta de inventario. Muchas empresas saben qué ERP tienen, pero no saben con precisión cuántas aplicaciones propias tienen en producción, sobre qué versión de .NET corren y quién es responsable de actualizarlas. Cuando llega un aviso como este, se pierden días solo en averiguarlo. Y en seguridad, los días cuentan.
Dónde vive realmente tu runtime (lo que más se olvida)
Aquí está el detalle que suele dejar sistemas sin parchear. Actualizar no significa lo mismo en todos los escenarios:
Aplicaciones dependientes del framework
Instala el runtime actualizado de la versión que utiliza tu aplicación y reinicia. Es el caso más sencillo.
Aplicaciones autocontenidas
No basta con actualizar el servidor: estas aplicaciones llevan su propio runtime incrustado. Hay que recompilar y volver a publicar con el runtime corregido. Si solo actualizas la máquina, seguirás ejecutando código vulnerable.
Contenedores
Hay que reconstruir y redesplegar usando las imágenes actualizadas de .NET. Una imagen construida la semana pasada seguirá arrastrando el runtime antiguo.
Linux: tarballs y source-build
Para .NET 10 y .NET 11, el problema de propiedad afecta solo a los tarballs de source-build. Para .NET 8 y .NET 9 también afecta a las distribuciones de ASP.NET Core obtenidas vía tarball, incluso si no compilas .NET desde el código fuente. Es un escenario fácil de pasar por alto en servidores heredados.
Las versiones corregidas publicadas son 8.0.33, 9.0.22, 10.0.14 y .NET 11 RC3 (quien esté en RC2 debe pasar a RC3). Para ver qué tienes instalado en una máquina, el comando de siempre:
dotnet --list-runtimes
Recuerda que las aplicaciones autocontenidas y los contenedores no aparecerán ahí: se revisan por separado.
Plan de acción en cinco pasos
- Inventaria. Lista aplicaciones propias en producción, versión de .NET, modelo de despliegue (dependiente, autocontenida, contenedor) y responsable.
- Prioriza por exposición. Primero lo que recibe tráfico de internet o de terceros: portales, APIs públicas, e-commerce, integraciones con clientes y proveedores.
- Comprueba el uso de Brotli. Revisa si tienes activada la descompresión de peticiones en ASP.NET Core, la descompresión automática en
HttpCliento uso directo de las APIs deSystem.IO.Compression. - Actualiza y verifica. Aplica el runtime corregido, recompila lo autocontenido, reconstruye imágenes y confirma versión tras el despliegue. Pasa primero por un entorno de pruebas.
- Documenta. Deja constancia de qué se parcheó, cuándo y quién lo validó. La próxima vez tardarás horas en lugar de días.
De parche urgente a mantenimiento planificado
Las publicaciones fuera de ciclo seguirán existiendo. La diferencia entre una empresa que las absorbe sin sobresaltos y otra que entra en pánico está en tres cosas: un inventario vivo del software propio, un entorno de pruebas donde validar antes de tocar producción y un responsable claro del ciclo de vida de cada aplicación. Nada de esto es exótico; es higiene básica, y ahorra mucho dinero el día que hace falta.
En Tisa llevamos desde 1987 desarrollando y manteniendo aplicaciones a medida para empresa privada —retail, distribución, construcción, industria alimentaria, servicios— además de implantar Business Central y Power Platform. Dentro de nuestra línea de desarrollo a medida acompañamos la evolución y el mantenimiento del software que ya tienes, y en ciberseguridad básica trabajamos la evaluación de riesgos y los planes de respuesta para que un aviso como este sea un trámite y no una urgencia.
¿Necesitas ayuda para aplicar estas actualizaciones de seguridad .NET?
Si no tienes claro qué versiones de .NET hay corriendo en tu organización, quién mantiene cada aplicación o cómo validar que el parche ha quedado bien aplicado, hablemos. Hacemos una valoración inicial sin compromiso y te decimos con franqueza qué es urgente y qué puede esperar.
Escríbenos a info@grupotisa.com, llámanos al (+34) 971 305 885 o visita grupotisa.com.
Fuente: Microsoft, ".NET October 2026 Out-of-Band Security Updates", blog oficial de .NET (devblogs.microsoft.com/dotnet). Para el detalle completo de cada CVE y los productos afectados, consulta los avisos de seguridad enlazados en la publicación original.
