Doradztwo dotyczące bezpieczeństwa firmy Microsoft CVE-2026-70035 – luka w zabezpieczeniach platformy .NET i programu Visual Studio umożliwiająca zdalne wykonanie kodu
Komunikat źródłowy zmienił się od przygotowania tego objaśnienia. Sprawdź aktualne dane techniczne i oryginalny komunikat poniżej.
Podsumowanie wykonawcze
Firma Microsoft publikuje niniejsze doradztwo dotyczące bezpieczeństwa, aby przekazać informacje o luce w zabezpieczeniach w komponencie Microsoft.WindowsDesktop.App.Runtime (WPF). Niniejsze doradztwo zawiera również wskazówki dotyczące czynności, jakie deweloperzy mogą podjąć w celu zaktualizowania swoich aplikacji i wyeliminowania tej luki.
Restrykcyjne poprawki zabezpieczeń XAML i XPS blokują niebezpieczne pobieranie zasobów oraz nawigację za pomocą identyfikatorów URI, propagują stan niezaufanych danych wejściowych podczas nawigacji hiperłączami, wprowadzają ochronę czcionek TrueType i limity głębokości zagnieżdżenia XAML, a także zapobiegają buforowaniu pozytywnych decyzji dotyczących zasad stref DNS.
Ogłoszenie
Ogłoszenie dotyczące tego problemu można znaleźć pod adresem https://github.com/dotnet/announcements/issues/451
Szczegóły CVSS
- Wersja: 3.1
- Ważność: Wysoka
- Wynik: 8.8
- Wektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H - Słabość: CWE-502 (Deserializacja niezaufanych danych)
Platformy objęte usterką
- Platformy: Windows
- Architektury: Wszystkie
Pakiety objęte usterką
Luka w zabezpieczeniach dotyczy projektów Microsoft .NET korzystających z wersji pakietów wymienionych poniżej.
| Nazwa pakietu | Wersja podatna | Wersja poprawiona |
|---|---|---|
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 8.0.0, <= 8.0.31 | 8.0.32 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 9.0.0, <= 9.0.20 | 9.0.21 |
| Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
Często zadawane pytania (FAQ)
Jak sprawdzić, czy problem mnie dotyczy?
Jeśli używasz pakietu wymienionego w sekcji Pakiety objęte usterką, aplikacja jest narażona na tę lukę.
Jak naprawić problem?
- Aby rozwiązać ten problem, zainstaluj najnowszą wersję platformy .NET. Jeśli co najmniej jeden zestaw .NET SDK został zainstalowany za pośrednictwem programu Visual Studio, program wyświetli monit o aktualizację Visual Studio, co spowoduje również aktualizację zestawów .NET SDK.
- Jeśli Twoja aplikacja odwołuje się do podatnego pakietu, zaktualizuj odwołanie do poprawionej wersji. Wersje zainstalowane w środowisku można wyświetlić za pomocą polecenia
dotnet --info.
Po zainstalowaniu zaktualizowanego środowiska uruchomieniowego lub zestawu SDK należy ponownie uruchomić aplikacje, aby aktualizacja zaczęła działać.
Ponadto wdrożone aplikacje autonomiczne (self-contained) korzystające z wersji objętych problemem również są podatne i wymagają ponownej kompilacji oraz ponownego wdrożenia.
Inne informacje
Zgłaszanie problemów z bezpieczeństwem
W przypadku wykrycia potencjalnego problemu z bezpieczeństwem w obsługiwanej wersji platformy .NET prosimy o zgłoszenie go do Microsoft Security Response Center (MSRC) za pośrednictwem Portalu dla badaczy MSRC.. Dodatkowe informacje znajdują się w dokumencie MSRC Report an Issue FAQ..
Zgłoszenia dotyczące bezpieczeństwa przesłane do MSRC mogą kwalifikować się do programu Microsoft .NET Bounty. Warunki i szczegóły programu Microsoft .NET Bounty znajdują się pod adresem https://aka.ms/corebounty..
Pomoc techniczna
Pytania dotyczące tej kwestii można zadawać w serwisie GitHub w organizacji .NET. Główne repozytoria znajdują się pod adresem https://github.com/dotnet/runtime.. Repozytorium ogłoszeń (https://github.com/dotnet/Announcements) zawiera niniejszy biuletyn w formie zgłoszenia (issue) wraz z linkiem do dyskusji, gdzie można zadawać pytania.
Zrzeczenie się odpowiedzialności
Informacje zawarte w niniejszym doradztwie są dostarczane w stanie „takim, w jakim są” („as is”), bez jakiejkolwiek gwarancji. Firma Microsoft zrzeka się wszelkich gwarancji, wyraźnych lub dorozumianych, w tym gwarancji przydatności handlowej i przydatności do określonego celu. W żadnym wypadku firma Microsoft Corporation ani jej dostawcy nie ponoszą odpowiedzialności za jakiekolwiek szkody, w tym szkody bezpośrednie, pośrednie, przypadkowe, następcze, utratę zysków biznesowych lub szkody szczególne, nawet jeśli firma Microsoft Corporation lub jej dostawcy zostali powiadomieni o możliwości wystąpienia takich szkód. Niektóre jurysdykcje nie zezwalają na wyłączenie lub ograniczenie odpowiedzialności za szkody następcze lub przypadkowe, w związku z czym powyższe ograniczenie może nie mieć zastosowania.
Linki zewnętrzne
Podziękowania
- Vincent55 Yang (https://vincent55.tw/)
Historia zmian
V1.0 (10/13/2026): Opublikowano doradztwo.
Co trzeba zrobić
Aby wyeliminować lukę w zabezpieczeniach:
- Zainstaluj najnowszą wersję platformy .NET. W przypadku zestawów SDK instalowanych przez Visual Studio wykonaj zalecaną aktualizację środowiska.
- Zaktualizuj odwołania do podatnych pakietów do wskazanych wersji poprawionych. Listę zainstalowanych pakietów można sprawdzić za pomocą polecenia
dotnet --info.
Po instalacji zaktualizowanego środowiska uruchomieniowego zrestartuj aplikacje. Wdrożone aplikacje autonomiczne (self-contained) wymagają ponownej kompilacji oraz ponownego wdrożenia.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-arm64 | >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2 | 10.0.13, 8.0.32, 9.0.21, 11.0.0-rc.2 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x64 | >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2 | 10.0.13, 8.0.32, 9.0.21, 11.0.0-rc.2 |
| .NET (NuGet) | Microsoft.WindowsDesktop.App.Runtime.win-x86 | >= 10.0.0, < 10.0.13, >= 8.0.0, < 8.0.32, >= 9.0.0, < 9.0.21, >= 11.0.0-preview.1, < 11.0.0-rc.2 | 10.0.13, 8.0.32, 9.0.21, 11.0.0-rc.2 |
Odnośniki
- https://github.com/dotnet/wpf/security/advisories/GHSA-4j9v-h7pp-725h
- https://github.com/dotnet/announcements/issues/451
- https://github.com/dotnet/wpf/issues/12017
- https://github.com/dotnet/wpf
- https://nvd.nist.gov/vuln/detail/CVE-2026-70035
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70035
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-502- Platforma
- .NET (NuGet)
- Paczka
Microsoft.WindowsDesktop.App.Runtime.win-arm64, Microsoft.WindowsDesktop.App.Runtime.win-x64, Microsoft.WindowsDesktop.App.Runtime.win-x86- Ujawniono
- 13.10.2026
- Aktualizacja
- 19.10.2026 22:17
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-4j9v-h7pp-725h - CC BY 4.0
Historia podatności: Microsoft.WindowsDesktop.App.Runtime.win-arm64
Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 19
- Pierwsza → ostatnia
- 12.2022 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 16
- Średnia 3
Ujawnienia w latach
- 2022: 1
- 2023: 2
- 2024: 1
- 2025: 0
- 2026: 15
-
Doradztwo dotyczące bezpieczeństwa firmy Microsoft CVE-2026-70035 – luka w zabezpieczeniach platformy .NET i programu Visual Studio umożliwiająca zdalne wykonanie kodu ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.