Vos logiciels Microsoft peuvent avoir besoin d’un nouveau correctif, même après les mises à jour du début du mois. Une livraison d’urgence de .NET, publiée le 25 octobre, traite notamment un défaut de décompression Brotli. Le CERT-FR a publié ses avis le 26 et signale aussi des versions concernées de PowerShell et Visual Studio. L’exposition dépend des composants et du traitement de données effectué par chaque application.
La publication .NET date du 25 octobre et les avis français du 26. Cette livraison corrige de nouveaux problèmes, mais reprend également deux corrections que la mise à jour du 13 octobre n’avait pas entièrement apportées. Le numéro exact installé mérite donc davantage d’attention que la seule mention « déjà mis à jour ce mois-ci ».
Brotli expose les applications qui traitent certaines données compressées
La faille CVE‑2026‑111497 touche l’utilisation de Brotli par .NET. Microsoft décrit un débordement de mémoire pouvant permettre de lire ou d’altérer la mémoire du processus. Les conséquences envisagées comprennent une divulgation d’informations, un déni de service ou une élévation de privilèges.
Le scénario suppose qu’une application traite des données Brotli concernées. L’éditeur cite notamment les API Brotli de System.IO.Compression, la décompression de requêtes ASP.NET Core et la décompression automatique des réponses HttpClient. Les deux derniers mécanismes ne sont pas activés par défaut. La présence de .NET sur une machine ne démontre donc pas, à elle seule, qu’un service accessible à distance y est vulnérable.
.NET Framework n’est pas affecté par cette livraison. Le nom ressemble à celui de .NET, mais les deux familles ne doivent pas être confondues lorsqu’on cherche le bon correctif.
Les versions .NET à rechercher après le correctif
Le bulletin de Microsoft fournit les repères suivants :
| Branche | Version corrective annoncée |
|---|---|
| .NET 8 | 8.0.33 |
| .NET 9 | 9.0.22 |
| .NET 10 | 10.0.14 |
| .NET 11 | Release Candidate 3 |
Une autre correction, CVE‑2026‑114148, porte sur les droits de propriété de certains fichiers distribués dans des archives .NET pour Linux. Elle répond à un risque local d’élévation de privilèges et ne doit pas être décrite comme le même scénario que Brotli. Les avis relatifs à CVE‑2026‑70197 et CVE‑2026‑102870 sont aussi réédités après les correctifs incomplets du 13 octobre.
Une application peut embarquer sa propre copie de .NET
C’est le point qui change la marche à suivre. Une application dépendante du runtime installé sur le système bénéficie du runtime corrigé après installation et redémarrage de l’application. À l’inverse, une application autonome emporte son propre runtime : son éditeur doit la reconstruire et la redistribuer avec la version à jour. Installer un nouveau runtime sur le PC ne remplace pas automatiquement celui qui est enfermé dans ce paquet.
La même logique s’applique aux conteneurs : Microsoft demande de reconstruire et redéployer les images mises à jour. Pour un particulier, cela signifie qu’une mise à jour du logiciel lui-même peut rester nécessaire. Pour un administrateur, l’inventaire doit inclure les déploiements autonomes et les conteneurs, en plus des runtimes présents sur l’hôte.
La commande dotnet --list-runtimes, indiquée par Microsoft, permet de lister les runtimes installés. Elle ne constitue pas un inventaire complet des copies embarquées dans toutes les applications.
PowerShell et Visual Studio ont leurs propres numéros de correction
Le CERT-FR détaille les autres produits concernés. Pour PowerShell, les repères correctifs sont 7.4.22, 7.5.13 et 7.6.9 selon la branche installée. Pour Visual Studio, l’avis mentionne notamment 16.11.61 pour la branche 2019, 17.14.43 pour 2022 et 18.11.2 pour la branche 18.11 de Visual Studio 2026.
Ces numéros ne s’additionnent pas : ils correspondent à des branches différentes. L’objectif est de mettre à jour celle que vous utilisez. Une application qui embarque son propre runtime doit ensuite être vérifiée séparément, même si les outils de développement du PC ont déjà reçu leur correctif.
Eric Thomas suit l’actualité de Windows, des logiciels, de la cybersécurité grand public et des outils web. Il s’intéresse aux mises à jour système, aux nouveautés informatiques et aux solutions pratiques qui améliorent l’expérience numérique au quotidien.
