Komunikat bezpieczeństwa firmy Microsoft CVE-2026-96959 – luka odmowy usługi (DoS) w .NET i Visual Studio
Komunikat źródłowy zmienił się od przygotowania tego objaśnienia. Sprawdź aktualne dane techniczne i oryginalny komunikat poniżej.
Podsumowanie wykonawcze
Firma Microsoft publikuje niniejszy komunikat bezpieczeństwa, aby przekazać informacje o luce w zabezpieczeniach w bibliotekach System.Security.Cryptography.Xml oraz System.Private.Xml. Komunikat ten zawiera również wytyczne dla programistów dotyczące aktualizacji aplikacji w celu usunięcia tej podatności.
Poprawki dotyczące podpisanego kodu XML wprowadzają limity głębokości danych wejściowych i liczby operacji, domyślnie zabraniają przetwarzania DTD, weryfikują odwołania do encji, ograniczają przetwarzanie kandydatów na zaszyfrowane dane oraz nakładają limity na atrybuty i przestrzenie nazw używane przez transformacje C14N.
Ogłoszenie
Ogłoszenie dotyczące tej kwestii można znaleźć pod adresem https://github.com/dotnet/announcements/issues/489
Szczegóły CVSS
- Wersja: 3.1
- Ważność: Wysoka
- Wynik: 7.5
- Wektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - Słabość: CWE-770 (Alokacja zasobów bez limitów lub dławienia)
Platformy, których dotyczy problem
- Platformy: Windows, Linux, macOS
- Architektury: Wszystkie
Pakiety, których dotyczy problem
Luka dotyczy projektów Microsoft .NET, które korzystają z poniższych wersji pakietów.
| Nazwa pakietu | Wersja dotknięta luką | Wersja załatana |
|---|---|---|
| System.Security.Cryptography.Xml | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| System.Security.Cryptography.Xml | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| System.Security.Cryptography.Xml | >= 8.0.0, <= 8.0.4 | 8.0.5 |
| System.Security.Cryptography.Xml | >= 9.0.0, <= 9.0.20 | 9.0.21 |
Często zadawane pytania (FAQ)
Skąd mam wiedzieć, czy problem mnie dotyczy?
Jeśli korzystasz z pakietu wymienionego w sekcji dotyczącej pakietów dotkniętych luką, jesteś narażony na tę podatność.
Inne informacje
Zgłaszanie problemów z bezpieczeństwem
W przypadku znalezienia potencjalnego problemu z bezpieczeństwem w obsługiwanej wersji platformy .NET prosimy o zgłoszenie go do Microsoft Security Response Center (MSRC) za pośrednictwem Portalu dla badaczy MSRC.. Więcej informacji można znaleźć w często zadawanych pytaniach MSRC dotyczących zgłaszania problemów..
Zgłoszenia bezpieczeństwa przekazane za pośrednictwem MSRC mogą kwalifikować się do programu Microsoft .NET Bounty. Szczegóły programu oraz warunki są dostępne pod adresem https://aka.ms/corebounty..
Wsparcie
Pytania dotyczące tej kwestii można zadawać w serwisie GitHub w organizacji .NET. Główne repozytoria znajdują się pod adresem https://github.com/dotnet/runtime.. Repozytorium Announcements (https://github.com/dotnet/Announcements)) będzie zawierać niniejszy biuletyn w formie zgłoszenia z linkiem do wątku dyskusyjnego.
Zastrzeżenie
Informacje zawarte w tym komunikacie są dostarczane w stanie „takim, w jakim są” (as is), bez jakiejkolwiek gwarancji. Firma Microsoft zrzeka się wszelkich gwarancji, wyraźnych lub dorozumianych. W żadnym wypadku Microsoft Corporation ani jej dostawcy nie ponoszą odpowiedzialności za jakiekolwiek szkody.
Linki zewnętrzne
Podziękowania
- novice-22
- Ky0toFu (@ky0tofu)
- Dr.-Ing Ashar Javed (@soaj1664ashar)
Historia zmian
V1.0 (10/13/2026): Opublikowano komunikat.
Co trzeba zrobić
-
Aby rozwiązać ten problem, zainstaluj najnowszą wersję platformy .NET. Jeśli co najmniej jedno środowisko .NET SDK zostało zainstalowane za pośrednictwem programu Visual Studio, wyświetli on monit o aktualizację, co spowoduje również zaktualizowanie zestawów .NET SDK.
-
Jeśli aplikacja odwołuje się do podatnego pakietu, zaktualizuj referencję pakietu do wersji załatanej. Zainstalowane wersje można wyświetlić za pomocą polecenia
dotnet --info.
Po zainstalowaniu zaktualizowanego środowiska uruchomieniowego lub pakietu SDK uruchom ponownie aplikacje, aby aktualizacja zaczęła obowiązywać.
Dodatkowo, jeśli wdrożono aplikacje autonomiczne (self-contained) korzystające z wersji dotkniętych problemem, aplikacje te są również podatne i należy je ponownie skompilować oraz wdrożyć.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| .NET (NuGet) | System.Security.Cryptography.Xml | >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 8.0.0, < 8.0.5, >= 9.0.0, < 9.0.21 | 10.0.13, 11.0.0-rc.2, 8.0.5, 9.0.21 |
Odnośniki
- https://github.com/dotnet/runtime/security/advisories/GHSA-c399-9853-6jmj
- https://github.com/dotnet/announcements/issues/489
- https://github.com/dotnet/runtime/issues/135710
- https://github.com/dotnet/runtime
- https://nvd.nist.gov/vuln/detail/CVE-2026-96959
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-96959
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Słabość (CWE)
CWE-770- Platforma
- .NET (NuGet)
- Paczka
System.Security.Cryptography.Xml- Ujawniono
- 13.10.2026
- Aktualizacja
- 19.10.2026 22:17
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-c399-9853-6jmj - CC BY 4.0
Historia podatności: System.Security.Cryptography.Xml
Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 14
- Pierwsza → ostatnia
- 10.2018 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 13
- Średnia 1
Ujawnienia w latach
- 2018: 2
- 2019: 0
- 2020: 0
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 1
- 2025: 0
- 2026: 11
-
Komunikat bezpieczeństwa firmy Microsoft CVE-2026-96959 – luka odmowy usługi (DoS) w .NET i Visual Studio ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.