Aller au contenu

Windows Faille Critique 9,4

.NET et ASP.NET Core : 44 failles corrigées le 13 octobre (10.0.13, 9.0.21, 8.0.32), dont deux smugglings HTTP à CVSS 9,4 et 9,1

Le correctif .NET du 13/10/2026 traite 44 CVE, dont des exécutions de code à distance et deux contournements « HTTP request smuggling » d'ASP.NET Core (CVSS 9,4 et 9,1). À appliquer sur .NET 8, 9 et 10 ; aucune exploitation connue.

par Frédéric Vagner · publié le

Sévérité
Critique CVSS 9,4 / 10
CVE
CVE-2026-105016 CVE-2026-88092 CVE-2026-70188 CVE-2026-70174 CVE-2026-87697 CVE-2026-70035 CVE-2026-83520 CVE-2026-70007 CVE-2026-96224 CVE-2026-96235 CVE-2026-85363 CVE-2026-96957 CVE-2026-96230 CVE-2026-102870 CVE-2026-70175 CVE-2026-70197 CVE-2026-96231 CVE-2026-96225 CVE-2026-58280 CVE-2026-69651 CVE-2026-96958 CVE-2026-96960 CVE-2026-96959 CVE-2026-84008 CVE-2026-96232 CVE-2026-96233 CVE-2026-70179
Produits
Autres Microsoft
Versions touchées
.NET 8 avant 8.0.32, .NET 9 avant 9.0.21, .NET 10 avant 10.0.13 (et ASP.NET Core associé)
Versions corrigées
10.0.13, 9.0.21, 8.0.32 (13/10/2026)
Correctif
Correctif disponible
Source
dotnet.microsoft.com ↗

Qui est concerné ?

Toutes les applications et sites ASP.NET Core ou .NET (services Windows, pools IIS avec le « Hosting Bundle », conteneurs, serveurs Linux) qui tournent sur .NET 8, 9 ou 10 non mis à jour. Les versions corrigées publiées le 13/10/2026 sont 10.0.13 (LTS), 9.0.21 et 8.0.32. Les notes de version marquent ces mises à jour comme correctifs de sécurité et listent 44 CVE pour .NET 10 et 40 pour .NET 8 ; certaines entrées concernent .NET Framework ou Microsoft QUIC (composant Windows) et sont corrigées par les mises à jour Windows du Patch Tuesday.

Risque

Scores CVSS relevés dans la base NVD pour les 44 CVE de la liste .NET 10 : 3 à 9 ou plus, 32 entre 7 et 8,9, 9 en dessous de 7. Les plus graves :

CVEFailleCVSS
CVE-2026-105016Microsoft QUIC : dépassement de tas, exécution de code à distance9,8
CVE-2026-88092ASP.NET Core : « HTTP request smuggling » (interprétation incohérente des requêtes)9,4
CVE-2026-70188ASP.NET Core : « HTTP request smuggling »9,1
CVE-2026-70174.NET : contrôle de sécurité mal implémenté, exécution de code à distance8,8
CVE-2026-87697.NET : désérialisation de données non fiables, exécution de code8,8
CVE-2026-83520.NET : désérialisation de données non fiables, exécution de code8,8
CVE-2026-96224.NET : écriture hors limites, exécution de code8,8
CVE-2026-96235.NET : écriture hors limites, exécution de code8,8
CVE-2026-96957.NET : vérification de signature cryptographique incorrecte, contournement8,8
CVE-2026-96230ASP.NET Core : script intersite (XSS)8,8
CVE-2026-102870ASP.NET Core : injection de code8,8

Deux failles de « HTTP request smuggling » d'ASP.NET Core (CVSS 9,4 et 9,1) concernent les sites derrière un proxy inverse (Apache, nginx, IIS ARR) : un attaquant peut faire interpréter différemment une requête par le proxy et par l'application. Exploitation active : non confirmée ; aucune de ces CVE n'est dans le catalogue CISA KEV au 23/10/2026 (seule CVE Microsoft récente : CVE-2026-96951, Windows).

Corriger

  • Windows / IIS : installer le Hosting Bundle .NET 10.0.13, 9.0.21 ou 8.0.32 (ou passer par Windows Update / Microsoft Update si le produit y est inscrit), puis redémarrer IIS.
  • Linux : mettre à jour les paquets .NET du dépôt Microsoft ; Debian ne fournit pas .NET dans ses dépôts.
  • Conteneurs : reconstruire les images avec les nouvelles étiquettes.
  • .NET 8 et .NET 9 sortent du support le 10/11/2026 : prévoir le passage à .NET 10 (voir notre article sur la fin de support).

Contournement

Aucun contournement général indiqué. Pour le smuggling HTTP : limiter les en-têtes ambigus au niveau du proxy inverse (rejeter les requêtes avec Content-Length et Transfer-Encoding simultanés) en attendant la mise à jour.

Vérifier

dotnet --list-runtimes
dotnet --list-sdks
# PowerShell (Hosting Bundle)
Get-ChildItem 'HKLM:\SOFTWARE\dotnet\Setup\InstalledVersions\x64\sharedfx\Microsoft.AspNetCore.App'

À lire aussi