Microsoftは2026年10月25日、システムやアプリを作るための土台「.NET」について、定例とは別の緊急のセキュリティ更新を公開しました。データの圧縮技術「Brotli（ブロトリ）」を展開する処理に欠陥（CVE-2026-111497）があり、情報漏えいなどにつながるおそれがあるためです。
データの「真空パック」に欠陥が見つかった
インターネットでは、Webページやファイルを速く届けるために、データを小さく詰めて送る「圧縮」という技術が使われています。いわば、データの真空パックです。
今回、そのパックの一種である「Brotli」を開ける（展開する）処理に欠陥が見つかりました。Microsoftによると、この欠陥は情報漏えい、サービスの停止、権限の乗っ取りにつながるおそれがあります。
1つの部品の欠陥が、いろいろなソフトに広がる
いろいろなメーカーの車が同じブレーキ部品を使っていれば、その部品に欠陥が見つかったとき、メーカーを問わずリコールが必要になります。
今回も似た状況です。海外のセキュリティメディアでは、この欠陥がMicrosoftの.NETだけでなく、Node.jsやPythonなど、ほかのソフトにも影響すると報じられています。
Microsoftが公開した修正
Microsoftは今回、Brotliの欠陥を含むセキュリティ上の問題を修正しました。10月13日の定例更新で直しきれていなかった2件も、あわせて修正し直されています。
- 修正版：.NET 8.0.33／.NET 9.0.22／.NET 10.0.14／.NET 11 RC3
- .NET Framework：今回のBrotliの欠陥の影響はありません
なお、この欠陥が実際の攻撃に悪用されているかどうかは、Microsoftの発表には書かれていません。
私たちは何をすればいい？
Microsoftによると、今回問題となった圧縮データを展開する機能は、初期設定では有効になっていません。影響を受けるのは、この機能を使っているシステムです。
- パソコンやスマホを使っている方：ふだんどおり、OSやアプリの更新が届いたら早めに適用しましょう。
- 自社でWebサイトやシステムを持っている企業：システムを作った会社や担当者に「今回の.NETの修正は済んでいますか？」と一度確認しておくと安心です。
詳しくはMicrosoftの公式発表（英語）をご覧ください。
KAROYAイージスからひとこと
今回のように、ふだん意識しない「部品」に欠陥が見つかり、多くのシステムに影響が広がることは珍しくありません。大切なのは、自社のWebサイトやシステムに古い部品が残っていないか、修正がきちんと済んでいるかを確かめておくことです。KAROYA イージスでは、こうした弱点がないかを確かめる脆弱性診断も承っています。自社のシステムが大丈夫か気になる方は、お気軽にご相談ください。
出典
Microsoft .NET Blog「.NET October 2026 Out-of-Band Security Updates」（2026年10月25日） 記事を見る