.NET et PowerShell : deux nouvelles fiches Microsoft à vérifier dans vos installations

Une faille distante, une élévation locale

Dans le document de sécurité Microsoft d’octobre, les premières révisions de CVE-2026-111497 et CVE-2026-114148 sont datées du 25 octobre. Elles demandent toutes deux une action du client. Elles ne modifient pas la seule fiche Exchange : ce sont d’autres composants à inventorier.

CVE-2026-111497 concerne le décodeur Brotli, une bibliothèque de décompression utilisée par .NET. Microsoft décrit une écriture hors limites permettant à un attaquant non autorisé d’élever ses privilèges sur le réseau. NVD décrit, pour la bibliothèque Brotli, un flux compressé malveillant pouvant notamment corrompre la mémoire ou provoquer un déni de service. Nous ne présentons pas ces descriptions comme une attaque reproduite par SecuFocus.

CVE-2026-114148 est différente : de mauvaises permissions par défaut dans ASP.NET Core permettent une élévation locale à un attaquant déjà autorisé. La FAQ Microsoft évoque les privilèges les plus élevés du système. La fiche ne donne pas de score CVSS. Pour les deux identifiants, le champ Microsoft Exploited est à No. Ce constat de l’éditeur ne garantit pas qu’aucune attaque n’existe.

• Distinguer ces correctifs de la faille Exchange↗

Choisir la ligne du bon paquet .NET

Pour les installations .NET listées sur Windows, Linux et Mac OS, les deux fiches donnent les builds ci-dessous. Ces valeurs viennent du champ FixedBuild de Microsoft ; nous n’avons pas téléchargé les correctifs. Une application qui embarque son propre environnement doit suivre la mise à jour de son éditeur, pas le remplacement manuel d’une bibliothèque interne.

La ligne .NET 11 reste une préversion. Les deux fiches n’en écrivent pas le numéro de la même manière : nous conservons leurs valeurs exactes. Ne les réduisez pas à une version stable commune.

Faites défiler le tableau horizontalement pour lire toutes les colonnes.

Deux archives Linux ont leurs propres numéros

Pour CVE-2026-114148, Microsoft distingue aussi les archives Linux de runtime et de targeting-pack ASP.NET Core publiées par Microsoft, avec le build 9.0.22. Les archives Linux source-build .NET ont une autre ligne : 10.0.403-servicing.26523.112. Ces numéros ne remplacent pas ceux du tableau pour tous les produits.

Avant l’intervention, identifiez le paquet, sa provenance et l’environnement qui exécute votre service. Préparez un retour arrière. Après la mise à jour et le redémarrage requis, vérifiez à nouveau la version et le fonctionnement de l’application. Ce parcours de maintenance est notre recommandation, pas un essai des paquets.

PowerShell et Visual Studio sont aussi cités pour Brotli

La fiche CVE-2026-111497 nomme PowerShell 7.4.22 pour la branche 7.4, 7.5.13 pour la branche 7.5 et 7.6.9 pour la branche 7.6. Si vous utilisez l’une de ces branches, passez par son circuit habituel de mise à jour et relevez ensuite la version du programme effectivement lancé. Ne supposez pas que la mise à jour de Windows a remplacé toutes les installations présentes.

Microsoft liste également des correctifs Visual Studio. Consultez la fiche correspondant à votre édition plutôt que d’appliquer un numéro PowerShell à l’IDE. SecuFocus n’a ni installé ces versions ni testé l’exploitation.

• Retrouver la même distinction entre moteur installé et service actif avec Node.js↗