.NET Oktober 2026 out-of-band Sicherheitsupdates

[IDontWantAName]

Checkt mal Windows Update. Es gibt für .NET8-10, 11RC (als RC3) und Powershell ein Out-of-band Sicherheitsupdate:

On October 25, 2026, we released out-of-band security updates for .NET 8.0.33, .NET 9.0.22, .NET 10.0.14, and .NET 11 Release Candidate 3 (prerelease). We recommend updating affected applications and build environments as soon as possible. .NET Framework is not affected.

 

[Tornhoof]

Hat was mit den brotli cve von Google zu tun, MS nutzt deren Bibliothek in .NET.
https://github.com/dotnet/runtime/issues/136446

 

[IDontWantAName]

Danke, das arbeite ich mich morgen durch ob das irgendwo genutzt wird.

 

[madmax2010]

Patch einfach alles. Diverse frameworks in mehreren Sprachenssind betroffen, recht viel python und js.
Inzwischen unvollständig, aber kleiner Auszug:
https://thehackernews.com/2026/10/brotli-decoder-flaw-behind-nodejs-rce.html

Wie die php Lücke Mittwoch ist das etwas was man direkt Patchen will. Nicht nach dem Wochenende.

 

[andy_m4]

Patch einfach alles.

Will aber meine Uptime nicht kaputt machen. 😄

 

[1lluminate23]

Entschuldigung, dass ich mich einmische: Wie heißt das Roll auf dem Screenshot von @IDontWantAName ? Habe ich bis dato noch nie gesehen. Danke

 

[madmax2010]

tippe mal auf einen fork von WuMGR..

Will aber meine Uptime nicht kaputt machen. 😄

Ragebait

Aber im Ernst. Ich finde die Frequenz gerade nicht mehr angenehm. Alles was ich an Infra betreue ist inzwischen so weit, dass jede Stunde updates ausgerollt werden. Wenn was stirbt. Alles kann failovern und "Nicht rebootsafe / kann man nicht redundant betreiben" waren einfach keine Ausreden mehr.
Ich denke, was die letzten Jahre an schlampigkeit im Betrieb OK sein konnte, weil leute damit davon gekommen sind, ist es seit einigen Monaten entgueltig nicht mehr

 

[IDontWantAName]

Habe ich bis dato noch nie gesehen. Danke

Das nennt sich das Windows Update MiniTool. Damit hat man wieder die Kontroller über Windows Update wie früher und kann einzelne Updates/Treiber ausblenden.

 

[andy_m4]

Ich denke, was die letzten Jahre an schlampigkeit im Betrieb OK sein konnte, weil leute damit davon gekommen sind, ist es seit einigen Monaten entgueltig nicht mehr

Jaja. Das denke ich auch.
Es wird immer viel davon geredet, das KI eine Sicherheitsbedrohung ist.
Nein. Ist es nicht. Das Phänomen KI macht nur deutlich, wie sehr bisher immer geschlampt wurde.

Und ich befürchte, das wird auch in Zukunft nicht besser. Denn was ja jetzt als Narrativ gilt ist, ja:
Wenn wir erst mal alle Sicherheitslücken gefixt haben, sind wir wirklich sicher.

Das lässt aber außer Acht, das auch viel mehr Code als früher produziert wird. Und zwar auch mit KI-Tools.
Und bisher hat kaum einer die Komplexität durchschaut, weil da inzwischen viele Abstraktionslayer/Frameworks/Libs drüber liegen und jetzt kommt der Layer KI noch dazu.

Gleichzeitig nimmt aber auch das Know-How ab. Programmieren lernt man dadurch, das man es tut. Wenn man dann aber nicht mehr die Skills hat den generierten Code zu beurteilen, dann ist das eine brisante Situation.

Und ja. Auch früher wurde schon schlechter Code geschrieben. Der Punkt den ich machen will:
Man denkt, man hätte das Problem gelöst, aber es hat sich lediglich verschoben.

 

[1lluminate23]

@IDontWantAName vielien herzlichen Dank für die Information und den Link. Das schaue ich mir doch mal direkt an.

Danke für deine Zeit und Bemühung.