Aviso de seguridad de Microsoft CVE-2026-96959 - Vulnerabilidad de denegación de servicio en .NET y Visual Studio
El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.
Resumen ejecutivo
Microsoft publica este aviso de seguridad para proporcionar información sobre una vulnerabilidad en System.Security.Cryptography.Xml y System.Private.Xml. Este aviso también ofrece orientación a los desarrolladores sobre cómo actualizar sus aplicaciones para eliminar esta vulnerabilidad.
Las correcciones de XML firmado añaden límites a la profundidad de entrada y al recuento de operaciones, prohíben el procesamiento de DTD de forma predeterminada, validan las referencias a entidades, limitan el procesamiento de candidatos de datos cifrados y restringen los atributos y espacios de nombres utilizados por las transformaciones C14N.
Anuncio
El anuncio sobre este problema puede consultarse en https://github.com/dotnet/announcements/issues/489
Detalles de CVSS
- Versión: 3.1
- Gravedad: Alta
- Puntuación: 7.5
- Vector:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - Debilidad: CWE-770 (Asignación de recursos sin límites ni limitación de frecuencia)
Plataformas afectadas
- Plataformas: Windows, Linux, macOS
- Arquitecturas: Todas
Paquetes afectados
La vulnerabilidad afecta a proyectos de Microsoft .NET que utilicen alguna de las versiones de paquetes afectadas indicadas a continuación.
| Nombre del paquete | Versión afectada | Versión corregida |
|---|---|---|
| System.Security.Cryptography.Xml | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| System.Security.Cryptography.Xml | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| System.Security.Cryptography.Xml | >= 8.0.0, <= 8.0.4 | 8.0.5 |
| System.Security.Cryptography.Xml | >= 9.0.0, <= 9.0.20 | 9.0.21 |
Preguntas frecuentes del aviso
¿Cómo sé si estoy afectado?
Si utiliza un paquete listado en los paquetes afectados, se encuentra expuesto a la vulnerabilidad.
Otra información
Notificación de problemas de seguridad
Si ha encontrado un posible problema de seguridad en una versión admitida de .NET, infórmelo al Centro de respuestas de seguridad de Microsoft (MSRC) a través del Portal para investigadores de MSRC.. Puede encontrar más información en las Preguntas frecuentes sobre cómo informar de un problema. de MSRC.
Los informes de seguridad remitidos mediante MSRC pueden calificar para el programa Microsoft .NET Bounty. Los detalles y términos del programa están en https://aka.ms/corebounty..
Soporte
Puede formular preguntas sobre este asunto en GitHub, en la organización de GitHub de .NET. Los repositorios principales se encuentran en https://github.com/dotnet/runtime.. El repositorio Announcements (https://github.com/dotnet/Announcements)) incluirá este boletín como un issue con un enlace al debate correspondiente.
Descargo de responsabilidad
La información proporcionada en este aviso se suministra "tal cual", sin garantía de ningún tipo. Microsoft renuncia a cualquier garantía, expresa o implícita, incluidas las garantías de comerciabilidad y adecuación para un propósito determinado. En ningún caso Microsoft Corporation ni sus proveedores serán responsables de ningún daño.
Enlaces externos
Agradecimientos
- novice-22
- Ky0toFu (@ky0tofu)
- Dr.-Ing Ashar Javed (@soaj1664ashar)
Revisiones
V1.0 (10/13/2026): Aviso publicado.
Qué hacer
-
Para corregir el problema, instale la versión más reciente de .NET. Si ha instalado uno o más SDK de .NET a través de Visual Studio, este le solicitará actualizar Visual Studio, lo que también actualizará sus SDK de .NET.
-
Si su aplicación hace referencia al paquete vulnerable, actualice la referencia del paquete a la versión parcheada. Puede enumerar las versiones que tiene instaladas ejecutando el comando
dotnet --info.
Una vez instalado el runtime o SDK actualizado, reinicie las aplicaciones para que la actualización surta efecto.
Además, si ha implementado aplicaciones autocontenidas destinadas a cualquiera de las versiones afectadas, dichas aplicaciones también son vulnerables y deben recompilarse e implementarse nuevamente.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| .NET (NuGet) | System.Security.Cryptography.Xml | >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 8.0.0, < 8.0.5, >= 9.0.0, < 9.0.21 | 10.0.13, 11.0.0-rc.2, 8.0.5, 9.0.21 |
Referencias
- https://github.com/dotnet/runtime/security/advisories/GHSA-c399-9853-6jmj
- https://github.com/dotnet/announcements/issues/489
- https://github.com/dotnet/runtime/issues/135710
- https://github.com/dotnet/runtime
- https://nvd.nist.gov/vuln/detail/CVE-2026-96959
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96959
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Debilidad (CWE)
CWE-770- Plataforma
- .NET (NuGet)
- Paquete
System.Security.Cryptography.Xml- Publicada
- 13.10.2026
- Actualizado
- 19.10.2026 22:17
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-c399-9853-6jmj - CC BY 4.0
Historial de vulnerabilidades: System.Security.Cryptography.Xml
Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 14
- Primera → última
- 10.2018 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 13
- Media 1
Divulgaciones por año
- 2018: 2
- 2019: 0
- 2020: 0
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 1
- 2025: 0
- 2026: 11
-
Aviso de seguridad de Microsoft CVE-2026-96959 - Vulnerabilidad de denegación de servicio en .NET y Visual Studio esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.