資料ダウンロード お問い合わせ
脆弱性レーダー（for Developers）
.NETASP.NET Coreサービス停止（DoS）深刻度 高

ASP.NET Coreの脆弱性CVE-2026-114154｜HttpSysの停止と更新手順

公開 2026-11-11公表 2026-11-11資料確認 2026-11-11.NETの脆弱性 128件のまとめ
起きること外部からの通信で業務サイトやサービスが停止するおそれ
使われている所Windows上でASP.NET Coreを使う業務サイト・システム
対象製品ASP.NET Core
識別番号CVE-2026-114154・GHSA-3893-7fxc-qvff
影響範囲WindowsのHttpSys 2.3.10〜2.3.13、ASP.NET Coreランタイム8.0.0〜8.0.33・9.0.0〜9.0.22・10.0.0〜10.0.14
修正情報HttpSys 2.3.14、ランタイム8.0.34・9.0.23・10.0.15
次にやること①対象の部品とバージョンを確認 ②更新して再配置・再起動

Windows上でHttpSysを使うASP.NET Coreアプリに、認証なしのネットワーク攻撃でサービスを停止させられるおそれがある脆弱性が公表されました。HttpSysはWindowsのHTTPサーバー機能を使う部品です。単独のパッケージとランタイムの両方を調べ、アプリの配布方式に合わせて更新します。

この記事の要点
  • Microsoftの深刻度は高、CVSS 3.1は7.5です。対象はWindowsで、アーキテクチャはすべてです。
  • HttpSysの単独パッケージは2.3.14へ、対象ランタイムは系列ごとに8.0.34・9.0.23・10.0.15へ更新します。
  • 自己完結型アプリはランタイムを同梱するため、アプリを再ビルドして再配置します。

01HttpSysで接続の資源が残る問題

細工されたチャンク形式のリクエストに長さの指定の矛盾があると、HttpSysがリクエストや接続の資源を保持し続ける場合があります。資源の消費によりサービスが使えなくなるおそれがあります。Microsoftはメモリ解放の不備（CWE-401）として公表しています。[1][2]

02Windows上のHttpSysとバージョンを確認する

提供元の対象一覧はWindowsで動くHttpSysの単独パッケージと、Windows向けASP.NET Coreランタイムです。win-arm64・win-x64・win-x86が挙がっています。[1]

  • プロジェクトの参照と起動設定で、Microsoft.AspNetCore.Server.HttpSysやUseHttpSysの使用を確認する。
  • 開発環境だけでなく、実際の配置先にあるパッケージとランタイムのバージョンを調べる。
  • アプリにランタイムを同梱しているか、サーバーにインストールしたランタイムを使うかを確認する。

03深刻度と悪用の評価

Microsoftの評価はCVSS 3.1の7.5（高）です。CVE記録のCISAによるSSVC評価では、日本時間11月11日の評価時点でExploitationは「none」です。この記録が示すのは、その評価時点の悪用状況です。提供元のアドバイザリにはPoC公開についての記載がありません。[1][2]

04対象バージョンと修正版

修正版はNuGetへの公開を確認しました。OSVの影響範囲とMicrosoftの対象一覧を照合し、次のバージョンを今回の更新先にします。更新前には、提供元のセキュリティ告知で同時に公表された他の修正と必要な作業も確認してください。[1][3][4][5][6]

対象影響を受けるバージョン今回の修正版
HttpSys単独パッケージ2.3.10〜2.3.132.3.14
Windows向けランタイム8系8.0.0〜8.0.338.0.34
Windows向けランタイム9系9.0.0〜9.0.229.0.23
Windows向けランタイム10系10.0.0〜10.0.1410.0.15

05確認・更新・反映の手順

  1. 配置先でdotnet --list-runtimesを実行し、Microsoft.AspNetCore.Appのバージョンを確認します。
  2. プロジェクトでdotnet list package --include-transitiveを実行し、間接的な依存関係も確認します。packages.lock.jsonを使う構成では、その記録も照合します。
  3. HttpSysを直接参照するプロジェクトではdotnet add package Microsoft.AspNetCore.Server.HttpSys --version 2.3.14で更新します。間接参照なら、依存元の更新を含めて解決後のバージョンを確認します。
  4. 該当する修正済みランタイムを導入します。パッケージを更新したアプリと自己完結型アプリは再ビルドして再配置し、アプリを再起動します。
  5. 配置先でランタイムとアプリの依存関係を再確認し、通常のリクエストに応答することを確認します。自己完結型では配置した成果物に同梱するランタイムも照合します。

Microsoftは、SDKの更新だけではアプリが単独で参照するパッケージを置き換えられないと説明しています。[1]

脆弱性の公表・更新一覧 2026年10月版の表紙
資料（無料）脆弱性の公表・更新一覧 2026年10月版60日間の公表・更新と、悪用が確認された脆弱性を分析し、どこから直すかの考え方と確認の手順をまとめた資料です。
PDFを受け取る

06すぐ更新できない場合

提供元のアドバイザリには、更新に代わる回避策の記載がありません。案内されている対応は、対象パッケージとランタイムの更新、およびアプリの再配置・再起動です。[1]

07自己完結型とフレームワーク依存型の違い

自己完結型アプリはランタイムをアプリと一緒に配布します。サーバー全体のランタイムを更新しても、アプリの中のランタイムは置き換わらないため、再ビルドと再配置が必要です。[1]

フレームワーク依存型でもHttpSysを単独のパッケージとして参照していれば、その参照を更新して再ビルド・再配置します。共通ランタイムの更新と、アプリの参照の更新をそれぞれ確認します。[1]

よくある質問

SDKを更新すれば対応は終わりますか？

単独で参照するHttpSysパッケージも更新し、アプリを再ビルド・再配置します。配置先のランタイムと再起動も確認してください。[1]

LinuxのASP.NET Coreも対象ですか？

今回のMicrosoftの対象一覧はWindowsです。別のASP.NET Coreの脆弱性は、個別のアドバイザリで対象環境を確認します。[1]

出典・参考資料

  1. Microsoft：HttpSysのサービス拒否に関するアドバイザリ2026-11-11確認（日本時間）　／　仕組み、Windowsの対象範囲、CVSS、更新と再配置
  2. CVE Program：CVE-2026-1141542026-11-11確認（日本時間）　／　Microsoftの影響説明とCVSS、CISAのSSVC
  3. OSV：GHSA-3893-7fxc-qvff2026-11-11確認（日本時間）　／　パッケージの影響範囲
  4. NuGet：HttpSysの公開バージョン2026-11-11確認（日本時間）　／　2.3.14の公開
  5. NuGet：Windows x64ランタイムの公開バージョン2026-11-11確認（日本時間）　／　8.0.34・9.0.23・10.0.15の公開
  6. Microsoft：セキュリティ告知と統合先への案内2026-11-11確認（日本時間）　／　更新方法、11月の統合告知への参照

あわせて読みたい記事

.NET公開 2026-11-01

ImageSharpの脆弱性CVE-2026-106113｜細工したTIFFでプロセス終了、確認方法と対応

.NETの画像処理ライブラリImageSharpの脆弱性CVE-2026-106113（GHSA-j3p4-wp97-rph4）は、浮動小数点のTIFFにHistogramEqualizationをかけるとプロセスが終了するおそれがあります。対象の処理の見分け方、修正版4.1.2・3.2.0、3.2.0からビルドに要るライセンスキー、修正版の無い2系の扱いを説明します。

JavaScript / TypeScript公開 2026-11-11

Viteの脆弱性GHSA-p4f5-76q4-ffq7｜開発サーバーでコード実行、確認方法と修正版

ネットワークへ公開したViteの開発サーバーで、コード実行やファイル漏えいが起きる脆弱性。6〜8系とVite+の対象範囲、配布を確認できた修正バージョン、Rolldownを含む更新手順を説明します。