.NET 10.0.13 schließt 44 CVEs, darunter 13 zur Remote-Code-Ausführung
Victoria Shinder2 Min. LesezeitMicrosoft hat die Wartungsupdates für Oktober 2026 für .NET und .NET Framework veröffentlicht. Der Beitrag im .NET Blog vom 12. Oktober nennt die neuen Versionen 10.0.13, 9.0.21 und 8.0.32, aktualisiert „as of October 13, 2026“ mit sicherheitsrelevanten und sonstigen Korrekturen, und verweist je Version auf eine eigene CVE-Liste. Die passenden Tags in den Repositories dotnet/core und dotnet/aspnetcore erschienen am 13. Oktober.
Der Sicherheitsanteil in Zahlen. Die Release-Notes zu .NET 10.0.13 führen 44 CVE-Einträge auf. Nach Microsofts Titeln sortiert: 13 Einträge zur Remote-Code-Ausführung (neun mit dem Titel „.NET and Visual Studio“, zwei in ASP.NET Core, je einer in Microsoft QUIC und im .NET SDK), 14 zu Denial of Service (je sechs in ASP.NET Core und „.NET and Visual Studio“, zwei in .NET selbst), fünf zur Offenlegung von Informationen, sieben zur Rechteausweitung (davon drei im SDK und zwei in ASP.NET Core) und fünf zur Umgehung von Sicherheitsfunktionen (drei ASP.NET Core, zwei SDK). Eine Gewichtung nimmt der Beitrag nicht vor; Einzelheiten stehen in Microsofts Update-Guide.
Was sich in ASP.NET Core ändert. Das Release v10.0.13 von dotnet/aspnetcore zeigt die konkreten Korrekturen. Die Output-Cache-Middleware speichert abgeschnittene oder abgebrochene Antworten nicht mehr; eine Lücke, über die sich die JsonIgnore-Validierung bei reinen Schreibbedingungen umgehen ließ, ist geschlossen; die HTTP/2-Verarbeitung lehnt Zeilenumbrüche in Trailern und in der dynamischen HPACK-Tabelle ab; das Sperrverhalten beim Abbruch von HTTP/3-Verbindungen und -Streams wurde korrigiert, ebenso ein Deadlock im Zertifikatsmanager. Der Java-Client von SignalR hängt nicht mehr, wenn das Lesen eines HTTP-Antwortkörpers fehlschlägt, und MessagePack steigt auf 2.5.303.
Welches SDK. Zu .NET 10 gehören die SDKs 10.0.402 und 10.0.113; wer das SDK installiert, bekommt die aktualisierte Runtime mit, getrennte Runtime-Pakete braucht es nur auf Rechnern ohne SDK. Container-Images und Linux-Pakete sind im selben Beitrag verlinkt. Auch .NET Framework erhält in diesem Monat Sicherheits- und weitere Updates mit eigenen Release-Notes.
Was Microsoft rät. Der Beitrag endet mit einer einzigen Aufforderung: noch heute auf das neueste Service-Release aktualisieren. Bei 44 CVE-Einträgen allein auf der 10.0-Linie ist das Oktober-Update eines, das man einplant statt überspringt.
Quellen: .NET Blog, „.NET and .NET Framework October 2026 servicing releases updates“ — https://devblogs.microsoft.com/dotnet/dotnet-and-dotnet-framework-october-2026-servicing-updates/ · Release-Notes .NET 10.0.13 — https://github.com/dotnet/core/blob/main/release-notes/10.0/10.0.13/10.0.13.md · ASP.NET Core v10.0.13 — https://github.com/dotnet/aspnetcore/releases/tag/v10.0.13