Komunikat bezpieczeństwa Microsoft CVE-2026-96222 – luka typu Spoofing w .NET
Komunikat źródłowy zmienił się od przygotowania tego objaśnienia. Sprawdź aktualne dane techniczne i oryginalny komunikat poniżej.
Podsumowanie wykonawcze
Firma Microsoft opublikowała niniejszy komunikat bezpieczeństwa, aby przedstawić informacje o podatności w bibliotece System.Security.Cryptography.Xml.
Komponent KeyInfoX509Data może akceptować serializowane formaty certyfikatów zawierające kontrolowane przez atakującego metadane łańcucha certyfikatów, zamiast wymagać standardowego certyfikatu X.509, co ułatwia fałszowanie certyfikatów i podszywanie się pod tokeny.
Komunikat
Ogłoszenie dotyczące tego problemu można znaleźć pod adresem https://github.com/dotnet/announcements/issues/474.
Szczegóły CVSS
- Wersja: 3.1
- Ważność: Wysoka
- Wynik: 7.4
- Wektor:
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N - Słabość: CWE-295 (Niepoprawna walidacja certyfikatu)
Platformy objęte podatnością
- Systemy operacyjne: Windows, Linux, macOS
- Architektury: Wszystkie
Pakiety objęte podatnością
Podatność dotyczy projektów Microsoft .NET korzystających z poniższych wersji pakietu:
| Nazwa pakietu | Wersja podatna | Wersja załatana |
|---|---|---|
| System.Security.Cryptography.Xml) | >= 8.0.0, <= 8.0.4 | 8.0.5 |
Często zadawane pytania (FAQ)
Jak sprawdzić, czy problem mnie dotyczy?
Jeżeli korzystasz z wersji pakietu wymienionej w tabeli, aplikacja jest narażona na podatność.
Jak usunąć podatność?
-
Aby rozwiązać problem, zainstaluj najnowszą wersję platformy .NET. W przypadku instalacji zestawów .NET SDK przez program Visual Studio, pojawi się monit o aktualizację środowiska, która zaktualizuje również pakiety SDK.
-
Jeżeli aplikacja odwołuje się do podatnego pakietu, zaktualizuj zależność do wersji załatanej. Zainstalowane wersje można wyświetlić za pomocą polecenia
dotnet --info.
Po zainstalowaniu zaktualizowanego środowiska uruchomieniowego lub SDK zrestartuj aplikacje, aby zmiany weszły w życie.
Ponadto w przypadku wdrożenia aplikacji autonomicznych (self-contained)) korzystających z podatnych wersji, aplikacje te również są podatne i wymagają ponownej kompilacji oraz ponownego wdrożenia.
Pozostałe informacje
Zgłaszanie problemów z bezpieczeństwem
W przypadku znalezienia potencjalnego problemu z bezpieczeństwem we wspieranej wersji .NET należy zgłosić go do Microsoft Security Response Center (MSRC) za pośrednictwem Portalu Badaczy MSRC.). Więcej informacji zawiera FAQ dotyczące zgłaszania problemów w MSRC.).
Zgłoszenia przekazywane przez MSRC mogą kwalifikować się do programu nagród Microsoft .NET Bounty. Szczegóły programu i regulamin znajdują się pod adresem https://aka.ms/corebounty..
Wsparcie
Pytania można zadawać w serwisie GitHub w organizacji .NET. Główne repozytoria znajdują się pod adresem https://github.com/dotnet/runtime.. Repozytorium ogłoszeń (https://github.com/dotnet/Announcements)) zawiera niniejszy biuletyn w formie zgłoszenia wraz z linkiem do dyskusji.
Wyłączenie odpowiedzialności
Informacje zawarte w tym komunikacie są dostarczane w stanie „takim, w jakim są” (as is), bez jakichkolwiek gwarancji. Microsoft wyłącza wszelkie gwarancje, wyraźne lub dorozumiane. Microsoft ani jego dostawcy w żadnym wypadku nie ponoszą odpowiedzialności za jakiekolwiek szkody.
Linki zewnętrzne
Podziękowania
- Vaisha Bernard z Eye Security
Historia zmian
V1.0 (10/13/2026): Opublikowano komunikat.
Co trzeba zrobić
Aby usunąć lukę:
- Zainstaluj najnowszą wersję platformy .NET lub zaktualizuj Visual Studio, aby odświeżyć środowisko uruchomieniowe i SDK.
- Zaktualizuj odwołania do pakietu
System.Security.Cryptography.Xmldo wersji 8.0.5 lub nowszej. - Uruchom ponownie aplikacje po wdrożeniu aktualizacji.
- Przeprowadź ponowną kompilację i wdrożenie aplikacji autonomicznych korzystających z podatnych komponentów.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| .NET (NuGet) | System.Security.Cryptography.Xml | >= 8.0.0, < 8.0.5 | 8.0.5 |
Odnośniki
- https://github.com/dotnet/runtime/security/advisories/GHSA-vrv5-2jg9-4mmr
- https://github.com/dotnet/announcements/issues/474
- https://github.com/dotnet/runtime/issues/135705
- https://github.com/dotnet/runtime
- https://nvd.nist.gov/vuln/detail/CVE-2026-96222
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96222
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N- Słabość (CWE)
CWE-295- Platforma
- .NET (NuGet)
- Paczka
System.Security.Cryptography.Xml- Ujawniono
- 13.10.2026
- Aktualizacja
- 19.10.2026 22:17
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-vrv5-2jg9-4mmr - CC BY 4.0
Historia podatności: System.Security.Cryptography.Xml
Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 14
- Pierwsza → ostatnia
- 10.2018 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 13
- Średnia 1
Ujawnienia w latach
- 2018: 2
- 2019: 0
- 2020: 0
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 1
- 2025: 0
- 2026: 11
-
Komunikat bezpieczeństwa Microsoft CVE-2026-96222 – luka typu Spoofing w .NET ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.