Microsoft ha publicado actualizaciones de seguridad fuera de calendario para .NET 8, .NET 9, .NET 10 y la Release Candidate 3 de .NET 11. El motivo principal es la vulnerabilidad CVE-2026-111497, un desbordamiento de búfer en el uso que hace .NET del algoritmo de descompresión Brotli. La compañía recomienda instalarlas cuanto antes. Lo detalla el equipo de .NET en su blog oficial del 25 de octubre, y lo recoge BetaNews.Según Microsoft, el fallo permite a un atacante sin autenticar leer o corromper la memoria del proceso. De ahí pueden salir tres cosas: filtración de información, denegación de servicio o elevación de privilegios. Afecta a todas las plataformas.¿Quién está realmente expuesto?Las aplicaciones que procesan datos comprimidos con Brotli a través de tres vías: la descompresión de peticiones de ASP.NET Core, la descompresión automática de respuestas de HttpClient o las API de Brotli de System.IO.Compression. Microsoft precisa que las dos primeras no vienen activadas por defecto, y que .NET Framework no está afectado.El paquete incluye un segundo arreglo, CVE-2026-114148, solo para Linux. Algunos archivos tarball de .NET llevaban metadatos de propiedad inseguros, y eso podría permitir a un atacante local modificar archivos y ganar privilegios. En .NET 10 y 11 afecta solo a los tarball de source-build. En .NET 8 y 9 afecta también a quien instaló ASP.NET Core desde sus tarball, aunque no compile .NET desde el código fuente.BetaNews habla de una calificación crítica. El blog de Microsoft no da una puntuación, y la ficha del centro de respuesta de seguridad de Microsoft (MSRC) no se ha podido consultar. BetaNews, además, describe el impacto de forma algo distinta a Microsoft, así que conviene leer el aviso oficial.Las versiones que hay que instalar.NET 8: 8.0.33.NET 9: 9.0.22.NET 10: 10.0.14.NET 11: Release Candidate 3. Quien esté en la RC2 debe pasar a la RC3.Aquí está la trampa para muchos equipos: instalar el nuevo runtime en el servidor no basta siempre. Las aplicaciones self-contained llevan su propio runtime empaquetado y hay que recompilarlas y volver a publicarlas. Los contenedores hay que reconstruirlos con las imágenes actualizadas. Las framework-dependent sí se arreglan instalando el runtime y reiniciando la aplicación. Microsoft sugiere el comando dotnet --list-runtimes para ver qué hay instalado en cada máquina.Lo que dice este parche sobre el de hace dos semanasMicrosoft reconoce que dos correcciones del 13 de octubre no resolvieron del todo sus fallos. Vuelve a publicar los avisos de CVE-2026-70197, una corrupción de memoria en SocketAsyncEventArgs que afecta a .NET 8, 9, 10 y 11, y de CVE-2026-102870, en el depurador de Blazor WebAssembly de .NET 10 y 11. Las actualizaciones de ahora incluyen esas correcciones.Es el mismo mes del Patch Tuesday de octubre, con más de 1.400 vulnerabilidades corregidas, y el volumen se nota. Mi lectura es que un parche urgente que además repara parches anteriores es la mejor razón para no dar por cerrado un aviso de seguridad solo porque ya instalaste algo. Pasa lo mismo que con el servidor que ejecuta una versión de PHP sin actualizar aunque WordPress esté al día: lo que importa es la capa que de verdad corre en producción.Si mantienes servicios en .NET, revisa hoy si alguno descomprime Brotli de clientes externos. Esos son los primeros que hay que actualizar, y los self-contained y los contenedores son los que más fácil se escapan.La noticia Microsoft saca un parche urgente para .NET por un fallo en la descompresión Brotli, y de paso completa dos correcciones de octubre que se quedaron cortas fue publicada originalmente en Wwwhatsnew.com por Natalia Polo.