.NETの脆弱性情報まとめ

.NETでは、実行環境（ランタイム・ASP.NET Core）の脆弱性と、NuGetパッケージの脆弱性を分けて確かめます。前者はMicrosoftの月例・臨時の更新で直り、後者はパッケージの版を上げて直します。2026年10月26日（日本時間）には臨時の更新が出ました。[1]

上の3件（10月）のCVSSはMicrosoftの評価で8.1〜8.8、悪用の成熟度は「未証明（E:U）」です。KEV（2026年10月30日版）に、2026年に公表された.NET本体の脆弱性は載っていません。KEVに載っているのは、AjaxProのような古いパッケージと.NET Frameworkです。[5]

日付はMicrosoftの案内の米国太平洋時間です。[8][9].NET 8と.NET 9は同じ日にサポートが終わります。9へ上げても期限は延びないため、上げる先は.NET 10（10.0.14）です。.NET 11は2026年11月1日の時点でRC3（プレリリース）で、11月10日〜13日の.NET Confで公開される予定です。[10]サポート終了後は、上の表のような臨時の更新も届かなくなります。

NuGetパッケージは、dotnet restoreのたびにNuGet Auditが脆弱性を確かめ、NU1901〜NU1904の警告を出します（.NET 8 SDK 8.0.100以降）。既定では直接参照だけを見ますが、net10.0以降を対象にするプロジェクトでは間接依存も含めて見ます。[11]一覧で確かめるときは次のコマンドを使います。--include-transitiveを付けないと間接依存が出ません。[12]

# .NET 9 SDK以前
dotnet list package --vulnerable --include-transitive

# .NET 10 SDK（名詞が先の形）
dotnet package list --vulnerable --include-transitive
dotnet package list --vulnerable --include-transitive --format json > vuln.json

# 間接依存を持ち込んでいるパッケージをたどる
dotnet nuget why MyApp.csproj AjaxNetProfessional

# 対象の版へ上げる（.NET 10 SDK）
dotnet package update --vulnerable

このコマンドが見るのはプロジェクトが参照するパッケージで、マシンに入っている実行環境の版は別に確かめます。dotnet sdk checkは、入っているSDKとランタイムが最新か、サポート切れかを表示します。[13]

dotnet --list-runtimes
dotnet sdk check

CIでは、NU1903（高）・NU1904（緊急）をWarningsAsErrorsに入れると、該当するパッケージがあるときにビルドを止められます。[11]

1. lockファイル：RestorePackagesWithLockFileをtrueにするとpackages.lock.jsonに間接依存まで含めた版が残ります。CIでdotnet restore --locked-modeを使うと、記録と違う版になったときに失敗します。[14]
2. 間接依存の固定：間接依存だけを上げたいときは、上位のパッケージを先に上げ、だめなら修正版を直接参照するか、Directory.Packages.propsの推移的な固定を使います。[11]
3. 配布の形：サーバーの.NETを更新して直るのは、フレームワーク依存のアプリだけです。自己完結型は作り直して配置し直し、NativeAOTは実行ファイルに組み込まれたBrotliの処理が残るため作り直します。更新の後はアプリを再起動します。[2][3]
4. コンテナ：イメージのタグが8.0のままでも、古いイメージを使い続けていれば中のランタイムは古いままです。動いているコンテナでdotnet --list-runtimesを実行し、10.0.14などになっているかを見ます。
5. 配布元の反映：10月28日には、UbuntuのパッケージやAzure App Serviceでまだ10.0.13だという利用者の報告がありました。OSのパッケージやクラウドの実行環境では、反映されたかを版の番号で確かめます。[15]
6. Linuxのtar.gzでの導入：Microsoftのtar.gzで入れた.NET 8・9のASP.NET Coreは、CVE-2026-114148のため、アドバイザリに沿って入れ直しが必要です。[1]
7. .NET Framework：NuGet Auditはpackages.configではVisual Studio 2022 17.10以降で動きます。実行環境はWindows Updateの適用状況で確かめます。[11]