Biuletyn bezpieczeństwa Microsoft CVE-2026-96960 – Podatność Denial of Service w .NET i Visual Studio
Komunikat źródłowy zmienił się od przygotowania tego objaśnienia. Sprawdź aktualne dane techniczne i oryginalny komunikat poniżej.
Firma Microsoft opublikowała biuletyn bezpieczeństwa zawierający informacje o podatności typu odmowa usługi (Denial of Service) w bibliotekach System.Security.Cryptography.Xml oraz System.Private.Xml.
Poprawki dotyczące Signed XML wprowadzają limity głębokości danych wejściowych i liczby operacji, domyślnie blokują przetwarzanie DTD, weryfikują odwołania do encji, ograniczają przetwarzanie kandydatów na zaszyfrowane dane oraz nakładają limity na atrybuty i przestrzenie nazw używane przez przekształcenia C14N.
Informacje o ogłoszeniu i CVSS
- Ogłoszenie: https://github.com/dotnet/announcements/issues/490
- Wersja CVSS: 3.1
- Ważność: High
- Wynik: 7.5
- Wektor:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - Typ słabości: CWE-405 (Asymmetric Resource Consumption (Amplification))
Platformy objęte podatnością
- Systemy operacyjne: Windows, Linux, macOS
- Architektury: Wszystkie
Pakiety objęte podatnością
Podatność dotyczy projektów Microsoft .NET korzystających z poniższych wersji pakietów:
| Nazwa pakietu | Wersja podatna | Wersja załatana |
|---|---|---|
| System.Security.Cryptography.Xml | >= 10.0.0, <= 10.0.12 | 10.0.13 |
| System.Security.Cryptography.Xml | >= 11.0.0-preview.1, <= 11.0.0-rc.1 | 11.0.0-rc.2 |
| System.Security.Cryptography.Xml | >= 8.0.0, <= 8.0.4 | 8.0.5 |
| System.Security.Cryptography.Xml | >= 9.0.0, <= 9.0.20 | 9.0.21 |
Dodatkowe informacje
- Zgłaszanie problemów z bezpieczeństwem: W przypadku znalezienia potencjalnej podatności w obsługiwanej wersji .NET należy zgłosić ją do Microsoft Security Response Center (MSRC) za pośrednictwem MSRC Researcher Portal.. Więcej informacji znajduje się na stronie Report an Issue FAQ. MSRC. Szczegóły programu Microsoft .NET Bounty znajdują się pod adresem https://aka.ms/corebounty..
- Wsparcie: Pytania można zadawać w organizacji .NET na GitHubie pod adresem https://github.com/dotnet/runtime.. Repozytorium Announcements (https://github.com/dotnet/Announcements) zawiera niniejszy biuletyn w formie zgłoszenia z linkiem do dyskusji.
- Linki zewnętrzne: CVE-2026-96960
- Podziękowania: Coşkun Bağrıaçık; Dr.-Ing Ashar Javed (@soaj1664ashar)
- Historia zmian: V1.0 (10/13/2026): Publikacja biuletynu.
- Zrzeczenie się odpowiedzialności: Informacje w tym biuletynie są dostarczane w stanie „takim, w jakim są” (as is), bez jakiejkolwiek gwarancji.
Co trzeba zrobić
W celu wyeliminowania podatności należy wykonać następujące kroki:
- Zainstaluj najnowszą wersję platformy .NET. W przypadku zainstalowania zestawu SDK .NET za pośrednictwem Visual Studio, środowisko Visual Studio wyświetli monit o aktualizację, co spowoduje również zaktualizowanie pakietów .NET SDK.
- Jeśli aplikacja odwołuje się do podatnego pakietu, zaktualizuj referencję do wersji załatanej. Listę zainstalowanych wersji można wyświetlić za pomocą polecenia
dotnet --info.
Po zainstalowaniu zaktualizowanego środowiska uruchomieniowego lub SDK zrestartuj aplikacje, aby zastosować zmiany.
Dodatkowo, jeśli wdrożono aplikacje autonomiczne (self-contained applications) skompilowane dla podatnych wersji, są one również narażone i muszą zostać ponownie skompilowane oraz wdrożone.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| .NET (NuGet) | System.Security.Cryptography.Xml | >= 10.0.0, < 10.0.13, >= 11.0.0-preview.1, < 11.0.0-rc.2, >= 8.0.0, < 8.0.5, >= 9.0.0, < 9.0.21 | 10.0.13, 11.0.0-rc.2, 8.0.5, 9.0.21 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Słabość (CWE)
CWE-405- Platforma
- .NET (NuGet)
- Paczka
System.Security.Cryptography.Xml- Ujawniono
- 13.10.2026
- Aktualizacja
- 19.10.2026 19:17
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-7hqp-7c5m-4vq6 - CC BY 4.0
Historia podatności: System.Security.Cryptography.Xml
Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 14
- Pierwsza → ostatnia
- 10.2018 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 13
- Średnia 1
Ujawnienia w latach
- 2018: 2
- 2019: 0
- 2020: 0
- 2021: 0
- 2022: 0
- 2023: 0
- 2024: 1
- 2025: 0
- 2026: 11
-
Biuletyn bezpieczeństwa Microsoft CVE-2026-96960 – Podatność Denial of Service w .NET i Visual Studio ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.