Microsoft は 2026 年 10 月 13 日、.NET と ASP.NET Core について深刻度 Critical の脆弱性 3 件を公開しました。最も重いのは Windows 上の .NET が使う Microsoft QUIC (MsQuic) のヒープバッファオーバーフローで、CVSS は 9.8 です。HTTP/3 や Kestrel を使って Web サービスを公開している .NET 開発者・運用者は、ランタイムの更新と再起動が必要です。

主なポイント

  • CVE-2026-105016 (MsQuic): 細工した IPv6 の QUIC パケットが認証やユーザー操作なしで HTTP/3 の処理に届き、リモートコード実行につながるおそれがあります。対象は Windows 上の .NET 8.0・9.0・10.0・11 RC2 です。
  • CVE-2026-88092 (CVSS 9.4): Kestrel で中断した HTTP/1 接続の未読ボディが別の要求として再解釈され、要求スマグリングにつながります。
  • CVE-2026-70188 (CVSS 9.1): Kestrel が HTTP/2 のトレーラーや HPACK 動的テーブル由来の値に含まれる改行を不正として扱っていませんでした。
  • ASP.NET Core の 2 件は 8.0.32・9.0.21・10.0.13・11.0.0-rc.2 で修正済みです。MsQuic は Microsoft.Native.Quic.MsQuic.Schannel を直接参照している場合、パッケージの更新も必要です。
  • 自己完結型 (self-contained) で配布したアプリは再ビルドと再デプロイが必要です。dotnet --info で導入済みのバージョンを確認できます。

出典: Microsoft QUIC Remote Code Execution Vulnerability (GHSA-5gjq-3f94-rcf7)