Doradztwo ds. bezpieczeństwa firmy Microsoft CVE-2026-70007 – luka w zabezpieczeniach .NET i Visual Studio umożliwiająca zdalne wykonanie kodu

Podsumowanie

Firma Microsoft opublikowała niniejszy biuletyn bezpieczeństwa, aby przekazać informacje o luce w Microsoft.WindowsDesktop.App.Runtime (WPF). Odpowiednio spreparowany kod bajtowy cieniowania pikseli (pixel-shader) w WPF może doprowadzić do desynchronizacji dwóch przebiegów parsowania w CPSTrans::Initialize, powodując zapisy lub odczyty poza granicami bufora na stercie.

Komunikat

Oficjalny komunikat dotyczący tego problemu jest dostępny pod adresem https://github.com/dotnet/announcements/issues/450.

Szczegóły CVSS

• Wersja: 3.1
• Poziom ważności: Wysoki
• Ocena: 8.8
• Wektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
• Słabość: CWE-787 (Out-of-bounds Write)

Platformy objęte problemem

• Platformy: Windows
• Architektury: Wszystkie

Pakiety objęte problemem

Luka dotyczy projektów Microsoft .NET, które korzystają z poniższych wersji pakietów:

Często zadawane pytania (FAQ)

Skąd mam wiedzieć, czy problem mnie dotyczy?

Jeżeli korzystasz z pakietu wymienionego w tabeli pakietów objętych problemem, Twoja aplikacja jest podatna na to zagrożenie.

Jak rozwiązać ten problem?

• 1. Aby rozwiązać ten problem, zainstaluj najnowszą wersję platformy .NET. W przypadku zainstalowania zestawów .NET SDK za pośrednictwem Visual Studio, program wyświetli monit o aktualizację, która zaktualizuje również pakiety SDK.
• 2. Jeśli aplikacja odwołuje się do podatnego pakietu, zaktualizuj odwołanie do załatanej wersji. Zainstalowane wersje można wyświetlić za pomocą polecenia dotnet --info.

Po zainstalowaniu zaktualizowanego środowiska uruchomieniowego lub SDK należy ponownie uruchomić aplikacje, aby aktualizacja zaczęła działać.

Dodatkowo w przypadku wdrożenia aplikacji autonomicznych (self-contained applications)) korzystających z podatnych wersji, aplikacje te również są podatne i wymagają ponownej kompilacji oraz ponownego wdrożenia.

Inne informacje

Zgłaszanie problemów z bezpieczeństwem

W przypadku wykrycia potencjalnego problemu z bezpieczeństwem w obsługiwanej wersji .NET prosimy o zgłoszenie go do Microsoft Security Response Center (MSRC) za pośrednictwem portalu badaczy MSRC.). Dodatkowe informacje znajdują się w sekcji MSRC Report an Issue FAQ.).

Zgłoszenia przesłane przez MSRC mogą kwalifikować się do programu Microsoft .NET Bounty. Szczegóły oraz regulamin programu dostępne są pod adresem https://aka.ms/corebounty..

Wsparcie

Pytania dotyczące tego problemu można zadawać na platformie GitHub w organizacji .NET. Główne repozytoria znajdują się pod adresem https://github.com/dotnet/runtime.. W repozytorium Announcements (https://github.com/dotnet/Announcements)) niniejszy biuletyn jest opublikowany jako zgłoszenie z linkiem do dedykowanej dyskusji.

Zrzeczenie się odpowiedzialności

Informacje zawarte w tym biuletynie są dostarczane w stanie „takim, w jakim są”, bez jakiejkolwiek gwarancji. Firma Microsoft zrzeka się wszelkich gwarancji, wyraźnych lub dorozumianych, w tym gwarancji przydatności handlowej i przydatności do określonego celu. W żadnym wypadku firma Microsoft Corporation ani jej dostawcy nie ponoszą odpowiedzialności za jakiekolwiek szkody, w tym szkody bezpośrednie, pośrednie, przypadkowe, następcze, utratę zysków biznesowych lub szkody szczególne.

Linki zewnętrzne

• CVE-2026-70007)

Podziękowania

• phrolo7a
• Muhammad Abdul Rehman
• SOMESH SONUNE
• Matheus Siqueira
• thegoldmandm
• Aobo Wang (@m4x_1997)
• Mateusz Gierblinski z Curios (https://curios-it.eu/))
• m0ssser (https://m0ssser-portfolio.pages.dev/))
• Alex Hannah

Historia zmian

V1.0 (10/13/2026): Opublikowano biuletyn.