Aviso de seguridad de Microsoft CVE-2026-70035: vulnerabilidad de ejecución remota de código en .NET y Visual Studio
El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.
Resumen ejecutivo
Microsoft publica este aviso de seguridad para proporcionar información sobre una vulnerabilidad en Microsoft.WindowsDesktop.App.Runtime (WPF). Este aviso también incluye orientación sobre las medidas que los desarrolladores pueden tomar para actualizar sus aplicaciones y solucionar esta vulnerabilidad.
Las correcciones de seguridad restrictivas en XAML y XPS bloquean la obtención y navegación insegura de URI, propagan el estado de entrada no confiable a través de la navegación por hipervínculos, agregan protección para fuentes TrueType y límites de profundidad de anidamiento de XAML, y evitan el almacenamiento en caché de decisiones positivas de directivas de zona DNS.
Anuncio
El anuncio sobre este problema puede consultarse en https://github.com/dotnet/announcements/issues/451
Detalles de CVSS
- Versión: 3.1
- Gravedad: Alta
- Puntuación: 8.8
- Vector:
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - Debilidad: CWE-502 (Deserialización de datos no confiables)
Plataformas afectadas
- Plataformas: Windows
- Arquitecturas: Todas
Paquetes afectados
La vulnerabilidad afecta a proyectos de Microsoft .NET que utilicen alguna de las versiones de paquete afectadas enumeradas a continuación.
| Nombre del paquete | Versión afectada | Versión corregida |
|---|---|---|
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
Preguntas frecuentes del aviso
¿Cómo sé si estoy afectado?
Si utiliza alguno de los paquetes enumerados en Paquetes afectados, su sistema está expuesto a la vulnerabilidad.
¿Cómo soluciono el problema?
- Para solucionar el problema, instale la versión más reciente de .NET. Si ha instalado uno o más SDK de .NET mediante Visual Studio, este le solicitará actualizar Visual Studio, lo que también actualizará los SDK de .NET.
- Si su aplicación hace referencia al paquete vulnerable, actualice la referencia del paquete a la versión corregida. Puede listar las versiones instaladas ejecutando el comando
dotnet --info.
Una vez instalado el tiempo de ejecución o el SDK actualizado, reinicie sus aplicaciones para que surta efecto la actualización.
Además, si ha implementado aplicaciones independientes basadas en cualquiera de las versiones afectadas, estas también son vulnerables y deben recompilarse e implementarse de nuevo.
Otra información
Notificación de problemas de seguridad
Si encuentra un posible problema de seguridad en una versión admitida de .NET, infórmelo al Microsoft Security Response Center (MSRC) a través del Portal de investigadores de MSRC.. Puede encontrar información adicional en las Preguntas frecuentes sobre informes de problemas de MSRC..
Los informes de seguridad realizados a través de MSRC pueden calificar para el programa Microsoft .NET Bounty. Los detalles y términos de este programa se encuentran en https://aka.ms/corebounty..
Soporte
Puede realizar consultas sobre este tema en GitHub, dentro de la organización de GitHub de .NET. Los repositorios principales están ubicados en https://github.com/dotnet/runtime.. El repositorio de anuncios (https://github.com/dotnet/Announcements) incluirá este boletín como un issue e incorporará un enlace a un hilo de debate para formular preguntas.
Descargo de responsabilidad
La información provista en este aviso se suministra "tal cual", sin garantía de ningún tipo. Microsoft renuncia a todas las garantías, ya sean expresas o implícitas, incluidas las garantías de comerciabilidad e idoneidad para un fin determinado. En ningún caso Microsoft Corporation ni sus proveedores serán responsables de ningún daño, incluidos daños directos, indirectos, incidentales, consecuentes, pérdida de beneficios comerciales o daños especiales, incluso si Microsoft Corporation o sus proveedores han sido advertidos sobre la posibilidad de tales daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, por lo que la limitación anterior podría no aplicarse.
Enlaces externos
Agradecimientos
- Vincent55 Yang (https://vincent55.tw/)
Revisiones
V1.0 (10/13/2026): Publicación del aviso.
Qué hacer
Para corregir la vulnerabilidad:
- Instale la versión más reciente de .NET. Si utiliza SDK de .NET a través de Visual Studio, actualice Visual Studio según se solicite.
- Actualice las referencias a paquetes afectados por las versiones corregidas correspondientes. Verifique las versiones instaladas con el comando
dotnet --info.
Reinicie las aplicaciones tras instalar las actualizaciones. Las aplicaciones independientes que utilicen versiones afectadas deben recompilarse e implementarse nuevamente.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2 | 10.0.13, 8.0.32, 9.0.21, 11.0.0-rc.2 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2 | 10.0.13, 8.0.32, 9.0.21, 11.0.0-rc.2 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2 | 10.0.13, 8.0.32, 9.0.21, 11.0.0-rc.2 |
Referencias
- https://github.com/dotnet/wpf/security/advisories/GHSA-4j9v-h7pp-725h
- https://github.com/dotnet/announcements/issues/451
- https://github.com/dotnet/wpf/issues/12017
- https://github.com/dotnet/wpf
- https://nvd.nist.gov/vuln/detail/CVE-2026-70035
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70035
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Debilidad (CWE)
CWE-502- Plataforma
- .NET (NuGet)
- Paquete
Microsoft.WindowsDesktop.App.Runtime.win-arm64, Microsoft.WindowsDesktop.App.Runtime.win-x64, Microsoft.WindowsDesktop.App.Runtime.win-x86- Publicada
- 13.10.2026
- Actualizado
- 19.10.2026 22:17
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-4j9v-h7pp-725h - CC BY 4.0
Historial de vulnerabilidades: Microsoft.WindowsDesktop.App.Runtime.win-arm64
Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 19
- Primera → última
- 12.2022 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 16
- Media 3
Divulgaciones por año
- 2022: 1
- 2023: 2
- 2024: 1
- 2025: 0
- 2026: 15
-
Aviso de seguridad de Microsoft CVE-2026-70035: vulnerabilidad de ejecución remota de código en .NET y Visual Studio esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.