.NET 8.0.33, 9.0.22 et 10.0.14 : correctif du décodeur Brotli (CVE-2026-111497) et élévation de privilèges (CVE-2026-114148)
Microsoft a publié le 25 octobre des correctifs .NET (8.0.33, 9.0.22, 10.0.14, 11 RC3) pour la faille du décodeur Brotli CVE-2026-111497 et une élévation de privilèges, CVE-2026-114148 ; PowerShell et Visual Studio sont aussi concernés. Scores Microsoft et exploitation à confirmer ; .NET 8 et 9 s'arrêtent le 10 novembre.
par Frédéric Vagner · publié le
- Sévérité
- Haute
- CVE
- CVE-2026-111497 CVE-2026-114148
- Produits
- .NETAutres Microsoft
- Versions touchées
- .NET 8.0 avant 8.0.33 (SDK 8.0.427), 9.0 avant 9.0.22 (SDK 9.0.320), 10.0 avant 10.0.14 (SDK 10.0.403), 11.0 avant RC3 ; PowerShell 7.4 / 7.5 / 7.6 ; Visual Studio 2019 / 2022 / 2026
- Versions corrigées
- .NET 8.0.33, 9.0.22, 10.0.14, 11.0.0-rc.3 (25/10/2026) — PowerShell 7.4.22, 7.5.13, 7.6.9 — Visual Studio 2019 16.11.61, 2022 17.14.43, 2026 18.11.2
- Correctif
- Correctif disponible
- Source
- cert.cyber.gouv.fr ↗
Le 25 octobre 2026, Microsoft a publié des mises à jour hors du cycle du Patch Tuesday pour .NET. Le CERT-FR les relaie dans l'avis CERTFR-2026-AVI-1382 (« élévation de privilèges ») pour deux CVE : CVE-2026-111497 (décodeur Brotli, voir l'article dédié) et CVE-2026-114148 (élévation de privilèges). Les métadonnées officielles des versions listent aussi les deux CVE dans les versions 8.0.33, 9.0.22, 10.0.14 et 11.0.0-rc.3. Le score et le détail de CVE-2026-114148 ne sont pas encore dans le NVD : à confirmer sur le guide de mise à jour MSRC. Les mêmes correctifs touchent PowerShell (7.4.22, 7.5.13, 7.6.9) et Visual Studio (avis CERT-FR AVI-1383).
Qui est concerné ?
Les serveurs Windows et Linux qui hébergent des applications ASP.NET Core ou .NET (via l'extension .NET Toolkit de Plesk, le Hosting Bundle IIS ou des services maison), les postes de développement (SDK, Visual Studio) et les serveurs qui utilisent PowerShell 7.
Versions corrigées
| Branche | Runtime corrigé (25/10) | SDK | Statut |
|---|---|---|---|
| .NET 10 (LTS) | 10.0.14 | 10.0.403 | Support actif, fin le 14/11/2028 |
| .NET 9 | 9.0.22 | 9.0.320 | Maintenance, fin le 10/11/2026 |
| .NET 8 (LTS) | 8.0.33 | 8.0.427 | Maintenance, fin le 10/11/2026 |
| .NET 11 | 11.0.0-rc.3 (version candidate) | 11.0.100-rc.3 | Go-live, sortie finale en novembre à confirmer |
Corriger
# Windows (PowerShell) : versions installées
dotnet --list-runtimes
dotnet --list-sdks
# Mise à jour : Windows Update / Microsoft Update, ou installeur du Hosting Bundle 8.0.33 / 9.0.22 / 10.0.14
# Linux (dépôt Microsoft) : exemple pour .NET 10
sudo apt update && sudo apt install --only-upgrade dotnet-runtime-10.0 aspnetcore-runtime-10.0
# Après mise à jour du runtime : redémarrer les applications
iisreset # IISÀ prévoir
.NET 8 et .NET 9 reçoivent ici l'un de leurs derniers correctifs : le Patch Tuesday du 10 novembre 2026 marque la fin de leur support. Planifier la migration vers .NET 10 (voir le dossier .NET et l'article sur la fin de support).
Sources : CERT-FR AVI-1382, AVI-1383, métadonnées des versions .NET 10.