Microsoftは2026年10月13日、.NET関連の脆弱性4件の情報を公開し、修正版を案内しました。メモリーやCPUを過剰に消費させ、サービス停止につながる問題が含まれます。情シスは.NETの更新だけでなく、アプリが参照するパッケージと、更新後の再起動・再展開まで確認する必要があります。
メモリーやCPUの消費を招く4件の問題
CVE-2026-92707は、Microsoft.AspNetCore.SignalR.Protocols.MessagePackが対象です。SignalRで深く入れ子になった配列を処理すると、メモリーを過剰に消費します。認証なしで遠隔からDoS攻撃、つまりサービスを利用できなくする攻撃につながる問題です。
CVE-2026-70162は、System.Security.Cryptography.Pkcsが対象です。EnvelopedCms.Decodeの処理で、認証前にCPUの処理能力を使い切る恐れがあります。この問題の影響対象OSはWindowsのみです。
CVE-2026-96958は、System.Security.Cryptography.XmlとSystem.Private.Xmlに存在します。署名付きXMLの修正では、入力の深さと処理回数に上限を追加しています。
CVE-2026-84008は、X.509データの反復解析によって、認証なしでCPUの処理能力を使い切らせる問題です。
深刻度を数値で示すCVSS 3.1のスコアは、92707が5.3、70162が5.9で、いずれもModerateです。96958と84008はともに7.5で、Highとされています。点数だけで対応を決めず、自社アプリでの利用状況と対象OSを照合してください。
修正版への更新と、アプリへの反映を分ける
案内された修正版は次のとおりです。アプリの参照先を確認し、利用している系列に対応する版を照合してください。
- Microsoft.AspNetCore.SignalR.Protocols.MessagePack：8.0.32、9.0.21、10.0.13、11.0.0-rc.2。
- System.Security.Cryptography.Pkcs：CVE-2026-70162、CVE-2026-84008の両CVEとも8.0.2、9.0.21、10.0.13、11.0.0-rc.2。
- System.Security.Cryptography.Xml：8.0.5、9.0.21、10.0.13、11.0.0-rc.2。
Microsoftは、最新版の.NETのインストールと、脆弱なパッケージを参照するアプリの参照先更新を案内しています。また、更新したランタイムやSDKを反映するには、アプリの再起動が必要と説明しています。ランタイムは実行環境、SDKは開発用のツール一式です。
実行環境をアプリに含める自己完結型アプリでは、影響するものに再コンパイルと再展開が必要です。端末やサーバー側の更新作業と、アプリを作り直して配り直す作業は分けて管理してください。
日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: 該当するOS上で、資料に記載された影響版のパッケージを使用するアプリを利用・開発している会社です。自社開発だけでなく、委託先が管理するアプリも参照先の確認対象にしてください。
- 影響する: Windows、Linux、macOSで、CVE-2026-92707、96958、84008の影響版を使う会社です。Windows以外でも確認が必要です。
- 影響する: WindowsでCVE-2026-70162の影響版のSystem.Security.Cryptography.Pkcsを使う会社です。影響する自己完結型アプリは、再コンパイル・再展開も確認します。
- 影響しない: Linux、macOSの環境は、CVE-2026-70162の影響対象OSには含まれていません。ただし、ほかの3件まで対象外になるわけではありません。
- 影響しない: 会社の規模や業種だけで対象外になる条件は、発表には書かれていません。修正版の一覧だけでなく、資料に記載された影響版の範囲と照合してください。
情シスが今日やること
- 確認作業の担当者を割り当てる。 資産管理台帳のOSとアプリ担当者の欄を確認し、Windows、Linux、macOSの.NET利用環境を洗い出します。特定の管理画面や操作経路は発表には書かれていません。
- 開発担当・委託先に参照先の確認を依頼する。 アプリのプロジェクト設定や依存パッケージ一覧で、対象パッケージ名と版を調べてもらいます。資料の影響版の範囲と照合し、回答には自己完結型かどうかも含めてもらってください。
- 修正版と反映方法を照合する。 パッケージ参照先の更新、ランタイムやSDKの更新後の再起動、自己完結型アプリの再コンパイル・再展開を、別々の作業として記録します。
- 業務担当と適用日を決める。 アプリの停止を伴う作業の有無を共有し、更新後の動作確認担当まで決めます。発表には適用期限が書かれていないため、社内の期限を明示し、更新の実施だけでなく反映確認まで追跡してください。
