Aviso de seguridad de Microsoft CVE-2026-88092 - Vulnerabilidad de elusión de funciones de seguridad de ASP.NET Core
El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.
Resumen ejecutivo
Microsoft publica este aviso de seguridad para proporcionar información sobre una vulnerabilidad en Microsoft.AspNetCore.Server.Kestrel.Core. Este aviso también ofrece instrucciones sobre lo que los desarrolladores pueden hacer para actualizar sus aplicaciones y solucionar esta vulnerabilidad.
Una conexión Kestrel HTTP/1 cancelada puede volver a analizar los bytes no leídos del cuerpo de la solicitud como otra solicitud, generando una vía de contrabando de solicitudes (request smuggling) o desincronización.
Anuncio
El anuncio sobre este problema se puede consultar en https://github.com/dotnet/announcements/issues/472
Detalles de CVSS
- Versión: 3.1
- Gravedad: Crítica
- Puntuación: 9.4
- Vector:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L - Debilidad: CWE-444 (Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling'))
Plataformas afectadas
- Plataformas: Windows, Linux, macOS
- Arquitecturas: Todas
Paquetes afectados
La vulnerabilidad afecta a proyectos de Microsoft .NET que utilicen una de las versiones afectadas indicadas a continuación.
Preguntas frecuentes (FAQ)
¿Cómo sé si estoy afectado?
Si utiliza un paquete listado en los paquetes afectados, su aplicación está expuesta a la vulnerabilidad.
¿Cómo soluciono el problema?
- Para solucionar el problema, instale la versión más reciente de .NET. Si ha instalado uno o más SDK de .NET mediante Visual Studio, este le solicitará que actualice Visual Studio, lo que también actualizará sus SDK de .NET.
- Si su aplicación hace referencia al paquete vulnerable, actualice dicha referencia a la versión parcheada. Puede consultar las versiones instaladas ejecutando el comando
dotnet --info.
Una vez instalado el runtime o SDK actualizado, reinicie las aplicaciones para que la actualización surta efecto.
Además, si ha implementado aplicaciones independientes (self-contained) basadas en cualquiera de las versiones afectadas, dichas aplicaciones también son vulnerables y deben recompilarse y volver a implementarse.
Otra información
Notificación de problemas de seguridad
Si detecta un posible problema de seguridad en una versión compatible de .NET, infórmelo al Microsoft Security Response Center (MSRC) a través del Portal para investigadores de MSRC.. Puede encontrar más información en las Preguntas frecuentes sobre cómo informar de un problema de MSRC..
Los informes de seguridad remitidos mediante el MSRC pueden ser elegibles para el programa Microsoft .NET Bounty. Los detalles y condiciones del programa Microsoft .NET Bounty se encuentran en https://aka.ms/corebounty..
Soporte técnico
Puede realizar consultas sobre este asunto en GitHub dentro de la organización de .NET. Los repositorios principales se encuentran en https://github.com/dotnet/runtime.. El repositorio de Anuncios (https://github.com/dotnet/Announcements) incluirá este boletín como un issue junto con un enlace al debate correspondiente donde podrá plantear preguntas.
Descargo de responsabilidad
La información provista en este aviso se suministra "tal cual", sin garantía de ningún tipo. Microsoft renuncia a cualquier garantía, ya sea expresa o implícita, incluidas las garantías de comerciabilidad e idoneidad para un fin determinado. En ningún caso Microsoft Corporation o sus proveedores serán responsables de ningún daño, incluidos daños directos, indirectos, incidentales, consecuentes, pérdidas de ganancias comerciales o daños especiales, incluso si Microsoft Corporation o sus proveedores han sido advertidos sobre la posibilidad de tales daños. Algunos estados o jurisdicciones no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, por lo que la limitación anterior puede no ser aplicable.
Enlaces externos
Agradecimientos
- thegoldmandm
Revisiones
V1.0 (10/13/2026): Aviso publicado.
Qué hacer
Para corregir esta vulnerabilidad:
- Instale la versión más reciente de .NET. Si los SDK de .NET se administraron mediante Visual Studio, aplique la actualización solicitada por el entorno.
- Actualice las referencias a los paquetes vulnerables en sus proyectos a las versiones corregidas (puede verificar las versiones instaladas mediante
dotnet --info). - Reinicie sus aplicaciones tras instalar el runtime o SDK actualizado.
- Recompile e implemente de nuevo las aplicaciones independientes (self-contained) afectadas.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.osx-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.osx-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-x86 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 11.0.0-rc.2, 9.0.21 |
Referencias
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L- Debilidad (CWE)
CWE-444- Plataforma
- .NET (NuGet)
- Paquete
Microsoft.AspNetCore.App.Runtime.linux-arm, Microsoft.AspNetCore.App.Runtime.linux-arm64, Microsoft.AspNetCore.App.Runtime.linux-musl-arm- Publicada
- 13.10.2026
- Actualizado
- 19.10.2026 22:17
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-rv87-ccxw-8ggf - CC BY 4.0
Historial de vulnerabilidades: Microsoft.AspNetCore.App.Runtime.linux-arm
Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 25
- Primera → última
- 05.2022 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 3
- Alta 19
- Media 3
Divulgaciones por año
- 2022: 12
- 2023: 1
- 2024: 5
- 2025: 2
- 2026: 5
-
Aviso de seguridad de Microsoft CVE-2026-88092 - Vulnerabilidad de elusión de funciones de seguridad de ASP.NET Core esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.