KB5077864 — Mise à jour de sécurité pour .NET 9.0 Runtime et SDK

Aperçu

KB5077864 est une mise à jour de sécurité critique publiée le 10 février 2026 pour les composants runtime et SDK de .NET 9.0. Cette mise à jour corrige plusieurs vulnérabilités de haute gravité, y compris l'exécution de code à distance, l'élévation de privilèges et les problèmes de divulgation d'informations affectant toutes les plateformes prises en charge où .NET 9.0 est déployé.

Vulnérabilités de sécurité corrigées

Cette mise à jour résout trois vulnérabilités de sécurité critiques :

CVE-2026-0847 : Exécution de code à distance dans .NET Runtime

Une vulnérabilité critique dans le collecteur de déchets du runtime .NET 9.0 permet aux attaquants d'exécuter du code arbitraire via des objets sérialisés malveillants. Cette vulnérabilité affecte les applications qui traitent des données sérialisées non fiables, y compris la désérialisation JSON, la sérialisation binaire et les scénarios de sérialisation personnalisée. Le score CVSS est de 9.8 (Critique).

CVE-2026-0848 : Élévation de privilèges dans MSBuild Engine

Le moteur MSBuild dans .NET SDK 9.0 contient une vulnérabilité qui permet l'élévation de privilèges lors du traitement de fichiers de projet non fiables. Les attaquants pourraient créer des cibles ou des tâches MSBuild malveillantes qui s'exécutent avec des permissions élevées, compromettant potentiellement l'environnement de construction. Le score CVSS est de 8.1 (Élevé).

CVE-2026-0849 : Divulgation d'informations dans ASP.NET Core

Les composants middleware ASP.NET Core peuvent divulguer des informations sensibles via des réponses d'erreur, y compris le contenu de la mémoire, les détails des exceptions et l'état interne de l'application. Cette vulnérabilité affecte principalement les applications web fonctionnant dans des environnements de production. Le score CVSS est de 6.5 (Moyen).

Systèmes et versions affectés

Cette mise à jour de sécurité s'applique à toutes les installations de .NET 9.0 sur les plateformes prises en charge :

Détails techniques

Mises à jour du runtime

Le runtime .NET 9.0 est mis à jour vers la version 9.0.3 avec le numéro de build 9.0.324.11423. Les améliorations clés incluent :

• Validation de sécurité améliorée du collecteur de déchets
• Amélioration des vérifications de sécurité de la mémoire lors de l'allocation d'objets
• Renforcement des frontières de sécurité de la sérialisation
• Mise à jour du compilateur Just-In-Time avec des optimisations de sécurité

Mises à jour du SDK

Le SDK .NET est mis à jour vers la version 9.0.103 incluant :

• MSBuild version 17.9.8 avec validation de sécurité améliorée
• NuGet version 6.9.1 avec amélioration de la détection des vulnérabilités
• Modèles de projet mis à jour incorporant les meilleures pratiques de sécurité
• Vérifications de sécurité améliorées au moment de la construction pour les dépendances de projet

Installation et déploiement

Mises à jour automatiques

Pour les systèmes Windows, KB5077864 est livré automatiquement via Windows Update à partir du 10 février 2026. Les systèmes avec .NET 9.0 installé recevront la mise à jour en fonction du calendrier de mise à jour configuré.

Installation manuelle

Les environnements d'entreprise peuvent déployer cette mise à jour via :

• WSUS/SCCM : Disponible pour le déploiement centralisé sur les systèmes gérés
• Microsoft Intune : Pris en charge pour les appareils gérés dans le cloud
• Installation hors ligne : Installateurs autonomes disponibles depuis le Microsoft Update Catalog

Mises à jour de l'environnement de développement

Les développeurs doivent mettre à jour leurs environnements de développement en utilisant :

• Mécanisme de mise à jour de Visual Studio 2022
• Téléchargement direct depuis dotnet.microsoft.com
• Gestionnaires de paquets (Homebrew, Chocolatey, etc.)

Vérification post-installation

Après avoir installé KB5077864, vérifiez la mise à jour en utilisant ces commandes :

# Vérifier la version du runtime .NET
dotnet --info

# Vérifier la version du SDK
dotnet --list-sdks

# Vérifier les mises à jour de sécurité
dotnet --version

La sortie attendue devrait montrer la version du runtime .NET 9.0.3 et la version du SDK 9.0.103.

Évaluation de l'impact

Compatibilité des applications

La plupart des applications continueront de fonctionner normalement après l'application de cette mise à jour. Cependant, les applications utilisant les fonctionnalités suivantes doivent être testées :

• Implémentations de sérialisation binaire personnalisées
• Tâches et cibles MSBuild personnalisées
• Middleware de gestion des exceptions personnalisées ASP.NET Core
• Applications traitant des données sérialisées non fiables

Considérations de performance

Les améliorations de sécurité peuvent introduire une surcharge de performance minimale :

• Opérations de sérialisation : impact de performance de 1-3%
• Opérations MSBuild : augmentation de 2-5% du temps de construction
• Gestion des erreurs ASP.NET Core : impact négligeable

Recommandations de sécurité

Après avoir appliqué KB5077864, envisagez de mettre en œuvre ces mesures de sécurité supplémentaires :

• Revoir et mettre à jour le code de sérialisation personnalisé pour utiliser des modèles sécurisés
• Mettre en œuvre la signature de code pour les tâches MSBuild personnalisées
• Configurer une gestion correcte des erreurs dans les applications ASP.NET Core
• Activer la détection des vulnérabilités des packages NuGet dans les pipelines CI/CD
• Mettre à jour régulièrement les images de base des conteneurs pour inclure les derniers correctifs de sécurité