微軟於二零二六年十月二十五日在 .NET 官方網誌發布帶外（out-of-band）安全更新，為 .NET 8、9、10 以及 .NET 11 Release Candidate 3 修補 Brotli 解壓緩衝區溢位 CVE-2026-111497，並一併處理 Linux tarball 擁有權異常 CVE-2026-114148；官方建議盡快升級。來源真實性已核對微軟 .NET Blog 原文。

微軟／官方：.NET 十月緊急帶外安全更新——修補 Brotli CVE-2026-111497 與 Linux tarball CVE-2026-114148；.NET 8／9／10／11 RC3 須盡快升級

企業與雲端團隊若以 ASP.NET Core、HttpClient 或 System.IO.Compression 處理 Brotli 壓縮流量，近日需把「非排程、帶外」安全更新納入變更窗口。微軟 .NET 團隊於二零二六年十月二十五日由 Senior Program Manager Rahul Bhandari 發文，宣布為 .NET 8、.NET 9、.NET 10 以及 .NET 11 Release Candidate 3 釋出 OOB 安全更新，並建議盡快套用。本文已核對微軟 .NET Blog 原文，來源真實性已驗證；焦點在.NET 執行環境與容器映像的緊急修補節奏，而非個別應用業務功能。

一、事件核心：Brotli 溢位與 Linux tarball 擁有權

技術細節

按微軟官方說明，本輪帶外更新主要處理兩項漏洞：

• CVE-2026-111497：.NET 使用 Brotli 解壓演算法時存在緩衝區溢位；未經驗證的攻擊者可能讀取或破壞行程記憶體，進而造成資訊外洩、阻斷服務或權限提升。影響平台標示為 All Platforms。
• CVE-2026-114148：受影響的 .NET tarball 擁有權中繼資料不安全，本地攻擊者可能修改檔案並取得更高權限。影響平台標示為 Linux。

官方進一步說明，應用程式若經由 ASP.NET Core 請求解壓、HttpClient 自動回應解壓，或呼叫 System.IO.Compression 的 Brotli API 處理 Brotli 壓縮資料，即可能受 CVE-2026-111497 影響。請求解壓與自動回應解壓預設並未啟用；.NET Framework 不受影響。

就 CVE-2026-114148 而言：.NET 10 與 .NET 11 主要波及 source-build tarball；.NET 8 與 .NET 9 則連透過 ASP.NET Core tarball 取得的發行版也包括在內——即使團隊並非自行從原始碼建置，只要使用相關 tarball 發行，仍須更新。

同日更新亦重新發布先前公告中未完全修復的項目：CVE-2026-70197（SocketAsyncEventArgs 記憶體損毀，.NET 8／9／10／11）以及 CVE-2026-102870（Blazor WebAssembly 偵錯器，.NET 10／11），原因是二零二六年十月十三日那一輪發行未能徹底解決。

二、版本矩陣與升級路徑

官方列出版本對照，方便運維直接對表：

升級指引按部署型態拆分：

• 框架相依（framework-dependent）：安裝對應版本的更新 Runtime 後重啟應用；
• 自包含（self-contained）：必須以更新後 Runtime 重新建置並重新發布——主機只裝新 Runtime，並不會自動替換已捆綁在應用內的舊 Runtime；
• 容器：以更新後的 .NET 容器映像重建並重新部署；
• source-build 使用者：取得更新後的 source-build 產物並重建套件，以納入 tarball 擁有權修補；
• .NET 8／9 的 ASP.NET Core tarball 使用者：即使不自行建置 .NET，亦應以刷新的 ASP.NET Core Runtime tarball 更新安裝。

官方建議以 dotnet --list-runtimes 核對主機已安裝 Runtime；自包含與容器部署須另行檢查，因為它們攜帶自己的 Runtime。

三、日常應用場景

1. 開發者與技術團隊

維護 ASP.NET Core API、反向代理後方的解壓中介層，或自建 HttpClient 管線自動解壓 Brotli 的團隊，應先盤點是否「手動 opt-in」了請求／回應解壓，再對照版本矩陣安排 OOB 變更。CI 映像、基底 Dockerfile 與私有 NuGet／容器倉庫的釘選版本，都要一併改到 8.0.33／9.0.22／10.0.14 或 11 RC3，避免「主機已升、映像仍舊」的假安全感。

2. 企業與隱私敏感行業

金融、醫療與法律等對可用性與資料外洩零容忍的環境，應把帶外更新視同緊急變更：先在預備／金絲雀環境驗證，再滾動生產。若工作負載跑在 Linux 且曾以 ASP.NET Core tarball 或 source-build 佈署，CVE-2026-114148 的本地提權路徑亦須納入主機加固與檔案擁有權稽核，不可只盯網路面的 Brotli 解壓。

3. 一般用戶

一般消費者用戶通常不會直接安裝 .NET Runtime；若使用依賴 .NET 的桌面或內部工具，應等待應用發行商釋出已重編的更新，並避免下載來路不明的「緊急修補包」。任何聲稱「點此一鍵修 Brotli」的釣魚連結都應忽略，改由官方通道取得更新。

4. 香港與亞洲市場視角

香港中小企與金融科技團隊大量以容器化 ASP.NET Core 承載 API 與內部入口；帶外更新往往撞上既有變更凍結或外判維運窗口。本地團隊宜把 Runtime 版本、容器映像摘要與解壓功能開關寫進配置基準，並與雲端資安／滲透測試節奏對齊。若企業需要雲端遷移、漏洞應變與網絡安全加固的顧問或實作支援，可參考 YSK Limited 的香港雲端遷移與網絡安全服務。

四、專業評價與潛在考量

優勢

• 官方 .NET Blog 清楚列出 CVE 編號、影響平台、預設未啟用解壓的條件，以及可對表的版本號，便於核對與工單化。
• 同時覆蓋 Brotli 遠端風險與 Linux tarball 本地提權，並補上十月十三日未完全修復的兩項公告，減少「以為已修、其實未修」的空窗。
• 對框架相依、自包含、容器與 tarball 分路徑說明，符合企業真實部署多樣性。

需要留意的地方

• 請求／回應 Brotli 解壓預設關閉，並非所有 .NET 應用都同等暴露；仍須以實際設定與相依庫為準，不可只看 Runtime 大版本。
• 自包含與容器若未重建，主機 Runtime 升級無法覆蓋捆綁複本——這是實務上最常見的漏網點。
• CVE-2026-111497 在其他生態（例如 Node.js 等）已有獨立披露與命名；本篇僅依微軟 .NET 官方敘事描述 .NET 受影響範圍，不外推其他執行環境的修補狀態。

結語

微軟於二零二六年十月二十五日為 .NET 8／9／10 與 .NET 11 RC3 釋出緊急帶外安全更新，核心修補 Brotli 解壓緩衝區溢位 CVE-2026-111497，並處理 Linux tarball 擁有權異常 CVE-2026-114148，同時補齊先前未完全修復的兩項公告。對香港以 ASP.NET Core 與容器承載業務的團隊而言，關鍵是對表版本、重建自包含與映像，以及核對是否啟用了請求／回應解壓。若貴司需要雲端資安加固、漏洞應變或遷移評估，可了解 YSK Limited 的相關服務：https://ysk.hk/services/cloud-security

參考來源

1. Microsoft .NET Blog（官方，2026-10-25）：.NET October 2026 Out-of-Band Security Updates — https://devblogs.microsoft.com/dotnet/dotnet-october-2026-oob-security-updates/
2. BleepingComputer（2026-10-26）：Microsoft releases emergency .NET patches for critical Brotli flaw — https://www.bleepingcomputer.com/news/microsoft/microsoft-releases-emergency-net-patches-for-critical-brotli-flaw/