Microsoft が、2026年10月に、.NET とASP.NET Coreの複数の脆弱性 を修正しました。RCE (リモートコード実行)や権限昇格 、情報漏えい、DoS(サービス妨害)が含まれます。この記事でいちばん伝えたいのは、個々の脆弱性の深刻度よりも、「どう直すか」が3つの経路に分かれる、という点です。自社のアプリで、どの経路の更新が要るかを確かめるのが、情シスの仕事になります。この記事は、MicrosoftのMSRCと.NETの公式情報をもとにまとめます。
主な脆弱性
MSRCで確認できる、主なものです。いずれも深刻度は「Important」で、悪用は確認されていません。
CVE
種別
CVSS
攻撃の条件
CVE-2026-87697
RCE
8.8
細工したファイルを、ユーザーが開く必要がある
CVE-2026-70174
RCE
8.8
同上。.NET Frameworkにもまたがる唯一のRCE
CVE-2026-70161
権限昇格(.NET SDK)
7.3
ローカル・低権限から
CVE-2026-70165
権限昇格(.NET SDK)
6.7
条件が重なる必要があり、難度は高い
このほか、情報漏えい(CVE-2026-66822)や、DoS(CVE-2026-69651、CVE-2026-109468、CVE-2026-70159)もあります。ASP.NET CoreのDoSは、認証もユーザー操作も不要で、ネットワークから発火しうるとされています。公開されているWebサービスでは、とくに確かめたい対象です。悪用の確認や、実証コードの公開は、今回の脆弱性については確認できていません。
直す経路が、3つに分かれる
今回いちばんやっかいなのが、更新の手段が3つに分かれる点です。
Windows Updateで来る(.NET Framework)。CVE-2026-70174やCVE-2026-69651の.NET Framework分は、通常のWindowsの月例更新で配信されます。IT部門の、いつものパッチ運用の範囲です。
.NETランタイム・SDKを個別に更新する。.NET 8/9/10などのランタイムやSDKは、開発者・運用者が個別に当てます。dotnet --list-runtimes や --list-sdks で版を確認し、新しい版へ上げます。
NuGetパッケージを上げて、再ビルド・再デプロイする。CVE-2026-109468(System.Formats.Cbor)やCVE-2026-70159(SignalR関連)は、該当のNuGetパッケージの参照を上げて、アプリを作り直す必要があります。
「Windows Updateを当てたから安心」とは限りません。.NETで動く自社アプリは、ランタイムやNuGetの更新が別に要ることがあります。とくに、自己完結(self-contained)で発行したアプリは、ランタイムを同梱しているため、アプリを再発行しないと直りません。
影響する会社・しない会社
影響する: .NETやASP.NET Coreで、自社のアプリやWebサービスを動かしている会社です。とくに、SignalRやCBORを使うWebアプリは、NuGetの更新が要ります。
影響する: .NET Frameworkのアプリを使っている会社です。こちらはWindows Updateで配信されます。
影響する: 開発をしている会社です。Visual Studio(2022・2026)も更新の対象です。
影響しにくい: .NETを使っていない環境。ただし、委託先が作ったアプリに.NETが使われていないかは、確かめる価値があります。
情シスが今日やること
.NETアプリの棚卸し。自社で、.NETやASP.NET Coreで動くアプリ・Webサービスを洗い出します。どの版の.NETを使っているか、自己完結で発行しているか、SignalRやCBORを使っているかを確かめます。
3つの経路で確かめる。(1).NET FrameworkはWindows Update、(2)ランタイム/SDKは個別更新、(3)該当アプリはNuGet更新と再デプロイ、と分けて進めます。
公開Webサービスを優先する。無認証で発火しうるDoSがあるため、インターネットに公開しているASP.NET Coreのサービスから、優先して確かめます。
委託先にも確認する。アプリの開発や運用を委託している場合、.NETの更新と再デプロイの予定を、委託先に確認します。
