CVE-2026-111497 は、.NET が組み込む Brotli 展開ライブラリのバッファオーバーフロー（CWE-787）として Microsoft が公開した。CVSS 3.1 ベーススコア 8.1、深刻度 High。認証不要の攻撃者がプロセスメモリの読み取りや破壊に至りうる。情報漏えい、サービス拒否、権限昇格の可能性がある。
影響は、ランタイムまたは NativeAOT 向け NuGet に同梱される Brotli デコーダを、攻撃者制御の Brotli データに対して使う経路に限定される。ASP.NET Core のリクエスト自動展開と HttpClient のレスポンス自動展開は既定では Brotli を展開しない。脆弱なパッケージが入っていても、次のいずれかを有効にするか、System.IO.Compression の BrotliStream / BrotliDecoder 等で明示的に展開しない限り、単体では露出しない。
- ASP.NET Core で Brotli（
br）を含む自動リクエスト展開を有効化している HttpClientHandler/SocketsHttpHandlerのAutomaticDecompressionにDecompressionMethods.BrotliまたはDecompressionMethods.Allを含めている- 信頼できない Brotli 入力を Brotli 展開 API に渡している
.NET Framework は対象外。プラットフォームとアーキテクチャはすべて該当しうる。
修正版ランタイムの目安：
| .NET | 修正ランタイム | 主な SDK |
|---|---|---|
| 8 | 8.0.33 | 8.0.133、8.0.427 |
| 9 | 9.0.22 | 9.0.123、9.0.320 |
| 10 | 10.0.14 | 10.0.114、10.0.403 |
| 11 プレビュー | 11.0.0-rc.3.26522.148 | 11.0.100-rc.3.26522.148 |
8.0.33 未満、9.0.22 未満、10.0.14 未満、および 11.0.0-rc.3.26522.148 未満の 11 プレビューが該当する。多数の Microsoft.NETCore.App.Runtime.* や Microsoft.DotNet.ILCompiler など、一覧は GitHub セキュリティアドバイザリに列挙されている。
対処は、利用中の .NET 版に合わせた更新済みランタイムまたは SDK の導入が推奨される。導入後はアプリを再起動する。self-contained 配布は更新ランタイムで再ビルドと再配布が必要。NativeAOT は SDK とコンパイラ／ランタイムパック参照を修正版に上げ、再 publish と再配布が必要。共有ランタイムだけを更新しても、既に実行ファイルへリンク済みのデコーダは置き換わらない。
更新前の暫定策は、攻撃者制御の Brotli データを展開しないこと。すでに Brotli リクエスト展開を使っている ASP.NET Core では、既存の AddRequestDecompression 設定から br プロバイダだけを外す（gzip / deflate は維持）。すでに HttpClient の自動展開を有効にしている場合は、既存ハンドラのフラグから Brotli を除く。展開をこれまで使っていないアプリに、回避のために新たに自動展開を有効化してはならない。