14/11/2026
Khẩn cấp Windows & Microsoft Thư viện & Mã nguồn mở
Đọc khoảng 4 phút

CVE-2026-111497: cập nhật Windows, .NET và sản phẩm liên quan để xử lý lỗi Brotli

CVE-2026-111497 .NETWindows

Microsoft công bố CVE-2026-111497, lỗi ghi vượt giới hạn trong Brotli decoder được .NET sử dụng, có thể cho phép nâng quyền qua mạng. Lỗi chỉ tạo điều kiện ảnh hưởng khi ứng dụng chủ động dùng giải nén Brotli; hãy kiểm tra sản phẩm, phiên bản và cài bản cập nhật tương ứng.

CVE-2026-111497: cập nhật Windows, .NET và sản phẩm liên quan để xử lý lỗi Brotli

Tóm tắt nhanh

  • CVE-2026-111497 là lỗi ghi vượt giới hạn trong Brotli decoder được .NET sử dụng.
  • Lỗi có thể cho phép nâng quyền qua mạng; điều kiện ảnh hưởng cần ứng dụng chủ động sử dụng giải nén Brotli.
  • Thông tin lỗ hổng đã công khai; hồ sơ không ghi nhận khai thác thực tế.
  • Kiểm tra sản phẩm, phiên bản và cài bản cập nhật tương ứng.
Nội dung bài viết

Microsoft công bố bản cập nhật xử lý CVE-2026-111497, một lỗi trong Brotli decoder được .NET sử dụng. Lỗ hổng có thể tạo điều kiện nâng quyền qua mạng, nhưng ứng dụng cần chủ động sử dụng chức năng giải nén Brotli để có điều kiện chịu ảnh hưởng. Xem hướng dẫn bảo mật của Microsoft để đối chiếu thông tin và bản cập nhật theo sản phẩm.

Tổng quan và thông tin kỹ thuật

Brotli là thư viện nén và giải nén dữ liệu được .NET sử dụng. CVE-2026-111497 được phân loại là lỗi ghi vượt giới hạn; Microsoft cho biết lỗi có thể cho phép kẻ tấn công chưa xác thực nâng quyền qua mạng.

Thông tinChi tiết
Mã định danhCVE-2026-111497
Loại lỗiCWE-787: Out-of-bounds Write
CVSSCVSS 3.1: 8.1 (AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C)
Mức độ nghiêm trọngCritical
Trạng tháiThông tin đã công khai: Có; khai thác thực tế: Không
NguồnMicrosoft MSRC

Phạm vi ảnh hưởng

Điều kiện ảnh hưởng không được bật mặc định trong cài đặt .NET hoặc ASP.NET Core nguyên bản. Ứng dụng có thể có điều kiện chịu ảnh hưởng nếu chủ động bật giải nén request của ASP.NET Core, giải nén response của HttpClient hoặc gọi API giải nén Brotli của .NET. Các sản phẩm và phiên bản cùng bản cập nhật tương ứng được Microsoft liệt kê gồm:

Sản phẩm và phiên bản bị ảnh hưởngBản cập nhật hoặc bản dựng
Windows 11 Version 23H2 for ARM64-based Systems; Windows 11 Version 23H2 for x64-based SystemsKB5131087, Build 10.0.22631.7711
Windows 11 Version 26H1 for ARM64-based Systems; Windows 11 version 26H1 for x64-based SystemsKB5132059, Build 10.0.28000.3501
Windows 10 Version 21H2 for x64-based Systems; Windows 10 Version 21H2 for ARM64-based Systems; Windows 10 Version 21H2 for 32-bit SystemsKB5131096, Build 10.0.19044.7846
Windows Server 2025; Windows Server 2025 (Server Core installation)KB5131080, Build 10.0.26100.33822; KB5131077, Build 10.0.26100.33730
Windows 10 Version 22H2 for ARM64-based Systems; Windows 10 Version 22H2 for 32-bit Systems; Windows 10 Version 22H2 for x64-based SystemsKB5131096, Build 10.0.19045.7846
Windows 11 Version 24H2 for x64-based Systems; Windows 11 Version 24H2 for ARM64-based SystemsKB5132061, Build 10.0.26100.9974; KB5132043, Build 10.0.26100.9911
Windows 11 Version 25H2 for x64-based Systems; Windows 11 Version 25H2 for ARM64-based SystemsKB5132061, Build 10.0.26200.9974; KB5132043, Build 10.0.26200.9911
Windows Server 2022 (Server Core installation); Windows Server 2022KB5131090, Build 10.0.20348.5870
Windows Server 2019 (Server Core installation); Windows 10 Version 1809 for x64-based Systems; Windows 10 Version 1809 for 32-bit Systems; Windows Server 2019KB5131085, Build 10.0.17763.9487
Windows 11 Version 26H2 for ARM64-based Systems; Windows 11 Version 26H2 for x64-based SystemsKB5132061, Build 10.0.26300.9974; KB5132043, Build 10.0.26300.9911
azl3 qemu10.1.0-2; 10.1.0-1
azl3 p7zip16.02-23
Microsoft Visual Studio 2017 version 15.9Build 15.9.84
Microsoft Visual Studio 2017 version 15.9 (includes 15.0 - 15.8)Build 1416/1.0.0.2026202302
azl3 nodejs24.21.0-1, Build 24.22.1-1
azl3 brotli1.1.0-2, Build 1.2.1-1
PowerShell 7.6Build 7.6.9
.NET 10.0 installed on Mac OS; .NET 10.0 installed on Linux; .NET 10.0 installed on WindowsKB5133966, Build 10.0.403
Microsoft Visual Studio 2022 version 17.14Build 17.14.43
Microsoft Visual Studio 2026 version 18.11Build 18.11.2
Microsoft Visual Studio 2026 version 18.12 InsidersBuild 18.12 Insiders 3

Cơ chế và tác động

Lỗi nằm trong Brotli decoder được .NET sử dụng. Khi ứng dụng có điều kiện sử dụng giải nén Brotli, kẻ tấn công chưa xác thực có thể khai thác lỗi qua mạng để nâng quyền. Hồ sơ không ghi nhận khai thác thực tế.

Tình trạng khai thác

Lỗ hổng đã được công khai, nhưng Microsoft ghi nhận chưa có khai thác thực tế. Hai trạng thái này không đồng nghĩa với việc đã có hoạt động khai thác trong môi trường thực tế.

Kiểm tra hệ thống

  1. Trên Windows, kiểm tra các KB liên quan đã được cài đặt:

    Get-HotFix -Id KB5131087,KB5132059,KB5131096,KB5131080,KB5131077,KB5132061,KB5132043,KB5131090,KB5131085

    Đối chiếu KB với phiên bản Windows đang sử dụng. Nếu không tìm thấy KB phù hợp, kiểm tra phiên bản và build hệ điều hành rồi cài bản cập nhật tương ứng.

  2. Liệt kê các .NET runtime được cài đặt trên hệ thống:

    dotnet --list-runtimes

    Nếu hệ thống có .NET 10.0, đối chiếu runtime được liệt kê với bản cập nhật .NET 10.0 Build 10.0.403.

Khắc phục và giảm thiểu

  1. Ưu tiên cài các bản cập nhật hoặc KB tương ứng với sản phẩm và phiên bản bị ảnh hưởng trong bảng trên.

  2. Rà soát ứng dụng chủ động bật ASP.NET Core request decompression, HttpClient response decompression hoặc gọi API giải nén Brotli của .NET; đây là các trường hợp có thể tạo điều kiện phơi nhiễm.

Nguồn tham khảo: Microsoft Security Response Center (MSRC), CVE-2026-111497

Nguồn tham khảo: Microsoft MSRC

Thẻ: CVE-2026-111497

Bài viết liên quan