.NET 10: Notfall-Update gegen die Brotli-Lücke und warum Unternehmen jetzt umsteigen sollten

• Microsoft hat Ende Oktober 2026 Notfall-Updates für .NET 8, .NET 9, .NET 10 und .NET 11 RC3 veröffentlicht, die eine kritische Lücke in der Brotli-Dekomprimierung (CVE-2026-111497) schließen.
• Abgesicherte Versionen sind .NET 8.0.33, 9.0.22, 10.0.14 und 11.0.0-rc.3; auch PowerShell und Visual Studio haben Updates erhalten.
• Das .NET Framework ist laut Berichten nicht betroffen, eigenständig veröffentlichte Anwendungen müssen dagegen neu gebaut und verteilt werden.
• Am 10. November 2026 enden die Sicherheitsupdates für .NET 8 und .NET 9, .NET 10 ist als LTS-Version bis November 2028 unterstützt.
• Die InSys AG^® hilft Unternehmen, .NET-Laufzeiten auf allen Geräten zu erfassen und Updates über Microsoft 365 Security und Intune zu steuern.

Wer Anwendungen auf Basis von .NET betreibt, sollte jetzt auf .NET 10 schauen: Microsoft hat am Wochenende um den 25. Oktober 2026 außerplanmäßige Sicherheitsupdates für .NET 8, .NET 9, .NET 10 und die Vorabversion .NET 11 RC3 veröffentlicht. Anlass ist eine Schwachstelle in der weit verbreiteten Kompressionsbibliothek Brotli, die unter CVE-2026-111497 geführt wird. Wie Borns IT- und Windows-Blog und heise online berichten, betrifft der Fehler neben .NET auch Node.js, Python und zahlreiche weitere Programme, die Brotli einbinden.

Es handelt sich um einen Pufferüberlauf beim Entpacken von Brotli-Daten. Ein Angreifer kann laut Microsoft ohne Anmeldung Speicher eines laufenden Prozesses auslesen oder verändern. Mögliche Folgen sind der Abfluss von Informationen, Ausfälle von Diensten oder die Ausweitung von Rechten. Microsoft stuft die Lücke für .NET und Visual Studio als kritisch ein, für PowerShell als wichtig. Die Lücke ist öffentlich bekannt, aktive Angriffe sind nach Angaben von Microsoft bisher nicht bestätigt, ein Ausnutzen hält Microsoft aber für wahrscheinlicher.

Bemerkenswert: Gefunden wurde der Fehler von einem KI-Werkzeug zur Sicherheitsanalyse. Das passt zu dem, was wir in unserem Beitrag zum Patch Management im KI-Zeitalter beschrieben haben: KI findet mehr Schwachstellen, und Unternehmen müssen schneller patchen.

Laut Borns IT- und Windows-Blog sind diese Versionen abgesichert:

• .NET 8.0.33
• .NET 9.0.22
• .NET 10.0.14
• .NET 11.0.0-rc.3 (wer RC2 nutzt, muss auf RC3 wechseln)
• PowerShell 7.6.9, 7.5.13 und 7.4.22
• Visual Studio 2026 18.11.2, Visual Studio 2022 17.14.43 und Visual Studio 2019 16.11.61

Das klassische .NET Framework ist nach den vorliegenden Berichten nicht betroffen. Außerdem ist die automatische Brotli-Dekomprimierung in ASP.NET Core und im HttpClient standardmäßig ausgeschaltet. Entwarnung bedeutet das trotzdem nicht: Die Brotli-Schnittstellen in System.IO.Compression sind betroffen, und viele Anwendungen nutzen sie direkt.

Viele Fachanwendungen bringen ihre .NET-Laufzeit selbst mit (eigenständige Veröffentlichung). Diese Programme profitieren nicht von einem Update der installierten Laufzeit auf dem Server oder Client. Sie müssen vom Hersteller oder von Ihrer Entwicklung neu gebaut und neu verteilt werden. Für Blazor-WebAssembly-Projekte sind laut Berichten zusätzlich die passenden NuGet-Pakete zu aktualisieren.

Für Unternehmen heißt das konkret:

1. Erfassen Sie, auf welchen Servern und Clients welche .NET-Versionen installiert sind.
2. Spielen Sie die Updates für installierte Laufzeiten, PowerShell und Visual Studio ein.
3. Fragen Sie bei den Herstellern Ihrer Fachanwendungen nach, ob deren Software Brotli nutzt und wann ein abgesichertes Release kommt.
4. Prüfen Sie eigene Entwicklungen und bauen Sie eigenständig veröffentlichte Anwendungen neu.

Das Notfall-Update fällt in eine ohnehin kritische Phase: Am 10. November 2026 endet der Support für .NET 8 und .NET 9. Microsoft hat die Supportdauer für Versionen mit Standardlaufzeit auf 24 Monate verlängert, deshalb enden beide Versionen am selben Tag. Danach gibt es für diese Versionen keine Sicherheitsupdates mehr. Eine Lücke wie die aktuelle bliebe dann dauerhaft offen.

.NET 10 ist die aktuelle Version mit Langzeitsupport bis November 2028. Wer jetzt ohnehin patchen, neu bauen und testen muss, sollte diesen Aufwand direkt für den Umstieg auf .NET 10 nutzen, statt zweimal innerhalb weniger Wochen zu verteilen. Dasselbe gilt für Software von Drittanbietern: Fragen Sie nicht nur nach dem Sicherheitsupdate, sondern auch nach dem Zeitplan für .NET 10.

Die größte Hürde ist selten das Update selbst, sondern die fehlende Übersicht. Mit Microsoft Defender XDR und dem Software-Inventar von Defender for Endpoint sehen Sie, auf welchen Geräten welche Software in welcher Version läuft und welche Schwachstellen dazu bekannt sind. Mit Microsoft Intune verteilen Sie Updates und neue Laufzeiten gezielt an Clients.

Die InSys AG^® ist Microsoft Solutions Partner für Security und betreut als Microsoft Direct CSP Kunden mit mehr als 80.000 Microsoft 365 Lizenzen. Wir richten Inventar, Schwachstellenübersicht und Update-Steuerung so ein, dass Sie bei der nächsten Notfall-Meldung in Minuten wissen, welche Systeme betroffen sind. Einen Überblick über unsere Leistungen finden Sie auf unserer Seite zu Microsoft 365 Security und Lizenzen.