Microsoft interrompe il ciclo mensile e distribuisce patch straordinarie per .NET
Microsoft ha pubblicato un aggiornamento di sicurezza out‑of‑band domenica 25 ottobre 2026, diverso dal consueto calendario mensile, per correggere più vulnerabilità nel framework .NET. Il pacchetto interessa le versioni supportate: .NET 8, .NET 9, .NET 10 e .NET 11. L'uscita di un aggiornamento fuori ciclo sottolinea la gravità delle falle e la necessità di applicare le correzioni il prima possibile.
Quali problemi risolve l'aggiornamento
Le patch intervengono su diversi difetti distinti segnalati da Microsoft. Tra gli interventi citati nel comunicato figurano:
- una vulnerabilità nel decoder Brotli;
- un errore nella gestione dei tarball su Linux;
- una potenziale corruzione di memoria nel sottosistema socket di .NET;
- una falla nel debugger Blazor WebAssembly che, in particolari circostanze, può portare all'esecuzione di codice sul sistema dello sviluppatore.
Tra i problemi descritti, Microsoft ha evidenziato in modo specifico CVE‑2026‑70197, classificata come vulnerabilità di tipo RCE (Remote Code Execution) e collegata al componente System.Net.Sockets. Il difetto riguarda in particolare la classe SocketAsyncEventArgs, usata per gestire operazioni socket asincrone ad alte prestazioni.
Perché CVE‑2026‑70197 è critica
La vulnerabilità si manifesta quando la stessa istanza di SocketAsyncEventArgs viene riutilizzata per datagrammi IPv4 e IPv6. In scenari in cui un'applicazione adotta un pattern specifico, un attaccante remoto non autenticato potrebbe inviare dati che attivano il percorso vulnerabile, con la conseguenza di una scrittura fuori dai limiti e una possibile esecuzione di codice. Microsoft segnala che il problema interessa sia i runtime CoreCLR sia Mono, quindi non è sufficiente cambiare implementazione runtime per evitare il rischio.
Chi deve aggiornare e come
L'aggiornamento è consigliato a chiunque utilizzi le versioni supportate di .NET elencate da Microsoft, in particolare ambienti di produzione, server e macchine di sviluppo che ospitano applicazioni esposte a input di rete. Microsoft specifica che anche chi ha applicato le patch del 13 ottobre 2026 deve installare le nuove release pubblicate domenica 25 ottobre.
| Elemento | Dettaglio |
|---|---|
| Data di rilascio | 25 ottobre 2026 (rilascio out‑of‑band) |
| Versioni interessate | .NET 8, .NET 9, .NET 10, .NET 11 (versioni supportate) |
| Vulnerabilità significativa | CVE‑2026‑70197 (RCE in System.Net.Sockets, classe SocketAsyncEventArgs) |
Microsoft ha classificato alcuni dei problemi come potenzialmente sfruttabili per ottenere l'esecuzione remota di codice o per causare corruzione di memoria. Per questo motivo l'azienda ha scelto di interrompere il normale ciclo di patch e distribuire le correzioni immediatamente.
Implicazioni per sviluppatori e amministratori
Gli sviluppatori devono verificare le proprie applicazioni, in particolare quelle che fanno uso intensivo di socket o che manipolano input di rete non attendibili, e aggiornare i runtime e i pacchetti .NET alle versioni rilasciate da Microsoft. Gli amministratori di sistema dovranno pianificare l'applicazione delle patch sugli ambienti di produzione e testare le dipendenze in modo da evitare regressioni.
Poiché il pacchetto è distribuito fuori dal ciclo mensile, è probabile che contenha correzioni che non sono state incluse nei precedenti aggiornamenti: Microsoft invita a installare le nuove release anche se si sono già applicate le patch del 13 ottobre 2026.
Per dettagli tecnici, istruzioni di aggiornamento e link alle versioni corrette, Microsoft ha pubblicato le note di sicurezza e le pagine di supporto dedicate sul proprio sito ufficiale.
