Aviso de seguridad de Microsoft CVE-2026-85790: vulnerabilidad de divulgación de información en .NET
El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.
Resumen ejecutivo
Microsoft publica este aviso de seguridad para proporcionar información sobre una vulnerabilidad en Microsoft.Native.Quic.MsQuic.Schannel. Este aviso también ofrece orientación sobre las medidas que pueden adoptar los desarrolladores para actualizar sus aplicaciones y solucionar esta vulnerabilidad.
Diversas vulnerabilidades en MsQuic se corrigen mediante una actualización de la dependencia binaria nativa.
Anuncio
El anuncio sobre este problema se encuentra disponible en https://github.com/dotnet/announcements/issues/470
Detalles de CVSS
- Versión: 3.1
- Gravedad: Moderate
- Puntuación: 5.9
- Vector:
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N - Debilidad: CWE-416 (Uso de memoria tras su liberación / Use After Free)
Plataformas afectadas
- Plataformas: Windows
- Arquitecturas: Todas
Paquetes afectados
La vulnerabilidad afecta a proyectos de Microsoft .NET que utilicen una de las versiones de paquetes afectadas indicadas a continuación.
| Nombre del paquete | Versión afectada | Versión corregida |
|---|---|---|
| Microsoft.Native.Quic.MsQuic.Schannel | >= 1.9.0, <= 2.6.1 | 2.6.2 |
Preguntas frecuentes (FAQ)
¿Cómo sé si estoy afectado?
Si utiliza alguno de los paquetes enumerados en la sección de paquetes afectados, su aplicación está expuesta a la vulnerabilidad.
Otra información
Notificación de problemas de seguridad
Si ha encontrado un posible problema de seguridad en una versión compatible de .NET, infórmelo al Centro de respuestas de seguridad de Microsoft (MSRC) a través del Portal para investigadores de MSRC. Puede encontrar más detalles en las Preguntas frecuentes sobre cómo informar de un problema. de MSRC.
Los informes de seguridad remitidos a través de MSRC pueden optar al programa Microsoft .NET Bounty. Los detalles de dicho programa, incluidos términos y condiciones, están en https://aka.ms/corebounty.
Soporte
Puede realizar consultas sobre este tema en GitHub dentro de la organización de .NET. Los repositorios principales se encuentran en https://github.com/dotnet/runtime. El repositorio de anuncios (https://github.com/dotnet/Announcements) contendrá este boletín como un issue e incluirá un enlace a un hilo de discusión donde plantear dudas.
Descargo de responsabilidad
La información facilitada en este aviso se proporciona «tal cual», sin garantía de ningún tipo. Microsoft renuncia a cualquier garantía, explícita o implícita, incluidas las garantías de comerciabilidad y adecuación a un fin particular. En ningún caso Microsoft Corporation o sus proveedores serán responsables de ningún daño, incluidos daños directos, indirectos, incidentales, consecuentes, pérdida de beneficios empresariales o daños especiales, incluso si se ha advertido a Microsoft Corporation o a sus proveedores de la posibilidad de tales daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, por lo que la limitación anterior podría no aplicarse.
Enlaces externos
Agradecimientos
- reinusKR
Revisiones
V1.0 (10/13/2026): Aviso publicado.
Qué hacer
-
Para solucionar el problema, instale la versión más reciente de .NET. Si ha instalado uno o más SDK de .NET a través de Visual Studio, este le solicitará que actualice Visual Studio, lo que también actualizará los SDK de .NET.
-
Si su aplicación hace referencia al paquete vulnerable, actualice la referencia al paquete a la versión corregida. Puede listar las versiones instaladas ejecutando el comando
dotnet --info.
Una vez instalado el runtime o SDK actualizado, reinicie las aplicaciones para que la actualización surta efecto.
Además, si ha implementado aplicaciones independientes (self-contained) orientadas a cualquiera de las versiones afectadas, dichas aplicaciones también son vulnerables y deben recompilarse y reimplementarse.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| .NET (NuGet) | Microsoft.Native.Quic.MsQuic.Schannel | >= 1.9.0, < 2.5.12, >= 2.6.0, < 2.6.3 | 2.5.12, 2.6.3 |
Referencias
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N- Debilidad (CWE)
CWE-416- Plataforma
- .NET (NuGet)
- Paquete
Microsoft.Native.Quic.MsQuic.Schannel- Publicada
- 13.10.2026
- Actualizado
- 19.10.2026 19:17
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-2mxg-prvg-9jfg - CC BY 4.0
Historial de vulnerabilidades: Microsoft.Native.Quic.MsQuic.Schannel
Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 6
- Primera → última
- 10.2023 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
- Alta 3
- Media 1
Divulgaciones por año
- 2023: 2
- 2024: 1
- 2025: 0
- 2026: 3
-
Aviso de seguridad de Microsoft CVE-2026-85790: vulnerabilidad de divulgación de información en .NET esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.