Microsoft vydal mimořádné bezpečnostní aktualizace pro .NET 8, 9, 10 a 11. Opravy řeší chybu v technologii Google Brotli, která ohrožuje aplikace zpracovávající komprimovaná data z nedůvěryhodných zdrojů.
Brotli slouží ke kompresi dat a další software ho používá ve svých aplikacích. Chyba CVE-2026-111497 se projevuje při zpracování speciálně upravených dat. Útočník bez přihlášení může číst nebo poškodit paměť běžícího procesu. Následkem může být únik informací, výpadek služby nebo získání vyšších oprávnění.
Microsoft přidělil zranitelnosti skóre 8,1 v systému CVSS v3.1, který slouží ke srovnání závažnosti bezpečnostních chyb. Zároveň ji zařadil do kategorie „zneužití pravděpodobnější“. Bezpečnostní odborníci už sestavili funkční ukázky útoku, nejsou však důkazy o jejich použití při skutečných útocích.
Chybu zveřejnil 21. října 2026 tým Node.js, který zároveň opravil deset zranitelností. Příslušná chyba ve zdrojovém kódu Brotli byla odstraněna už v únoru. Tehdy však nebyla rozpoznána jako bezpečnostní problém a nevzniklo nové vydání Brotli. Opravy už vydaly také projekty Node.js, Python, Bun, Envoy a Istio.
Zranitelnost se netýká jen zpracování webových požadavků. Výzkumníci společnosti JFrog připravili ukázku zneužití pomocí speciálně upraveného obrázku JPEG XL zpracovávaného v programu FFmpeg. Stejná chyba může způsobit také pád Apache Arrow. Seznam dotčeného softwaru proto zahrnuje více než přímo instalované verze .NET.
Microsoft doporučuje aktualizovat co nejdříve, pevný termín však neuvedl. Než budou opravy nainstalované, OpenAI doporučuje tam, kde je to možné, blokovat nedůvěryhodná data komprimovaná pomocí Brotli. Po aktualizaci mají správci znovu sestavit dotčená nasazení a restartovat služby, aby se opravené součásti skutečně načetly.
Rozhodující je konkrétní verze .NET a přítomnost Brotli v aplikaci nebo jejích závislostech. Samotná aktualizace serveru bez nového sestavení aplikace může ponechat starou knihovnu v provozu. Systémy bez dotčených verzí .NET není kvůli této chybě nutné měnit. U ostatních je vhodné ověřit nové sestavení aplikací a restart služeb se správcem nebo dodavatelem.
Při plánování bezpečnostních aktualizací nestačí vysoké skóre zranitelnosti. Přednost má oprava systému, který je vystaven útoku a jehož napadení ohrozí přístupy, data nebo provoz.
Během 30 dní lze určit odpovědnost za kyberbezpečnost, prověřit účty, obnovu záloh i postup pro první hodinu incidentu.
Kdo drží obnovovací slova, může s bitcoinem nakládat, zatímco logo banky v aplikaci z něj bankovní vklad neudělá a pojištění vkladů se na něj nevztahuje.
Napište nám, co u vás řešíte. Společně probereme, jestli vám můžeme pomoci.
