KB5077863 — Mise à jour de sécurité pour .NET 8.0 Runtime et SDK

Aperçu

KB5077863 est une mise à jour de sécurité critique publiée le 10 février 2026 pour les composants runtime et SDK de .NET 8.0. Cette mise à jour corrige quatre vulnérabilités de sécurité importantes qui affectent les applications fonctionnant sur les plateformes Windows, Linux et macOS. La mise à jour est classée comme importante et doit être déployée immédiatement pour prévenir d'éventuelles exploitations de sécurité.

Vulnérabilités de sécurité corrigées

Cette mise à jour résout les vulnérabilités et expositions communes (CVE) suivantes :

CVE-2026-0847 : Exécution de code à distance dans .NET Runtime

Une vulnérabilité critique dans le système de collecte des ordures de .NET 8.0 qui pourrait permettre aux attaquants d'exécuter du code arbitraire à distance. Cette vulnérabilité affecte les applications qui traitent des entrées non fiables ou gèrent de grandes allocations de mémoire. Le score CVSS est de 9.8 (Critique), indiquant la gravité de cette faille de sécurité.

CVE-2026-0848 : Divulgation d'informations dans ASP.NET Core

Une vulnérabilité de divulgation d'informations dans le traitement des requêtes HTTP d'ASP.NET Core qui pourrait exposer des données sensibles de l'application via des en-têtes HTTP manipulés. Les applications Web utilisant ASP.NET Core 8.0 sont particulièrement vulnérables à cette exploitation. Le score CVSS est de 7.5 (Élevé).

CVE-2026-0849 : Injection SQL dans Entity Framework Core

Une vulnérabilité d'injection SQL dans le moteur de traduction de requêtes LINQ d'Entity Framework Core qui pourrait permettre aux attaquants d'exécuter des commandes SQL malveillantes contre la base de données. Les applications utilisant Entity Framework Core avec des requêtes LINQ dynamiques sont à risque. Le score CVSS est de 8.1 (Élevé).

CVE-2026-0850 : Élévation de privilèges dans .NET SDK

Une vulnérabilité d'élévation de privilèges dans le système MSBuild du SDK .NET qui pourrait permettre aux attaquants d'exécuter du code avec des permissions élevées pendant le processus de construction. Les environnements de développement et les pipelines CI/CD utilisant le SDK .NET 8.0 sont affectés. Le score CVSS est de 7.8 (Élevé).

Systèmes et versions affectés

Cette mise à jour de sécurité s'applique à toutes les installations de .NET 8.0 sur les plateformes prises en charge :

Détails techniques

Les correctifs de sécurité dans KB5077863 mettent en œuvre des changements complets à travers plusieurs composants de .NET 8.0 :

Améliorations de la sécurité du runtime

Le runtime .NET reçoit des correctifs de sécurité critiques qui renforcent la gestion de la mémoire et les processus de collecte des ordures. Ces changements préviennent les attaques de débordement de tampon et améliorent la stabilité globale de l'application. Le collecteur d'ordures implémente désormais des vérifications de limites supplémentaires et une validation de la mémoire pour prévenir l'exploitation des vulnérabilités de corruption de mémoire.

Améliorations de la sécurité d'ASP.NET Core

Les composants ASP.NET Core reçoivent une validation améliorée des en-têtes HTTP et une sécurité accrue du traitement des requêtes. La mise à jour implémente une désinfection plus stricte des entrées et empêche les fuites d'informations via des en-têtes HTTP manipulés. Les composants middleware effectuent désormais des vérifications de sécurité supplémentaires pour se protéger contre les attaques d'injection d'en-têtes.

Sécurité des requêtes Entity Framework Core

Le moteur de traduction LINQ-to-SQL d'Entity Framework Core reçoit des mises à jour de sécurité complètes pour prévenir les attaques d'injection SQL. La mise à jour améliore la validation des paramètres et implémente des techniques de génération de requêtes plus sûres. Les requêtes LINQ dynamiques subissent désormais une validation de sécurité supplémentaire avant l'exécution de la base de données.

Sécurité du SDK et de MSBuild

Le SDK .NET et le système MSBuild mettent en œuvre des restrictions de sécurité renforcées pour prévenir les attaques d'élévation de privilèges. Les tâches de construction fonctionnent désormais avec des privilèges réduits et subissent une validation supplémentaire avant l'exécution. Les tâches MSBuild personnalisées nécessitent des déclarations de permission explicites pour les opérations élevées.

Considérations de déploiement

Les organisations devraient prioriser le déploiement de KB5077863 en raison de la nature critique des vulnérabilités de sécurité corrigées. La mise à jour maintient la compatibilité rétroactive avec les applications .NET 8.0 existantes tout en fournissant des protections de sécurité essentielles.

Recommandations de test

Avant le déploiement en production, les organisations devraient :

• Tester les applications dans des environnements de préproduction pour identifier d'éventuels problèmes de compatibilité
• Vérifier les applications Entity Framework Core avec des requêtes LINQ complexes
• Valider les applications ASP.NET Core avec des middleware personnalisés
• Tester les processus de construction et les pipelines CI/CD pour la compatibilité MSBuild

Impact sur la performance

Les améliorations de sécurité peuvent introduire une surcharge de performance minimale en raison de validations et de vérifications de sécurité supplémentaires. La plupart des applications ne subiront pas de dégradation de performance notable, mais les applications avec des opérations de mémoire intensives ou des requêtes de base de données complexes devraient être surveillées après le déploiement.