Microsoft Tampal Isu Brotli dalam .NET: Semak Runtime yang Dibawa Aplikasi Anda

Microsoft mengeluarkan kemas kini keselamatan .NET di luar jadual bulanan pada 25 Oktober 2026. Antara isu yang ditangani ialah kelemahan penyahmampatan Brotli, iaitu proses membuka semula data termampat sebelum digunakan oleh aplikasi.

Bagi pembangun dan pentadbir sistem, berita ini membawa persoalan praktikal: runtime manakah yang sebenarnya digunakan oleh aplikasi? Jawapannya menentukan sama ada pasukan perlu mengemas kini pemasangan pelayan, membina semula aplikasi atau menggantikan imej kontena.

Keluaran baharu untuk beberapa cabang .NET

Menurut pengumuman Microsoft, versi tampalan yang diterbitkan ialah .NET 8.0.33, 9.0.22 dan 10.0.14. Pengguna .NET 11 Release Candidate 2 pula diarahkan beralih kepada Release Candidate 3 untuk menerima pembaikan. RC3 masih merupakan keluaran calon, bukannya pengumuman versi stabil .NET 11.

Microsoft turut menyatakan bahawa pembaikan pada 13 Oktober belum menyelesaikan sepenuhnya dua isu terdahulu, melibatkan SocketAsyncEventArgs dan penyahpepijat Blazor WebAssembly. Keluaran 25 Oktober menyediakan pembaikan lanjut. Oleh itu, rekod bahawa sebuah sistem sudah ditampal pada pertengahan bulan belum menjawab sama ada kemas kini terbaharu ini telah digunakan.

Sumber: .NET October 2026 Out-of-Band Security Updates.

Pendedahan Brotli bergantung pada penggunaan sebenar

Nasihat keselamatan rasmi mengenal pasti isu Brotli sebagai CVE-2026-111497. Microsoft menyatakan bahawa kelemahan ini boleh membolehkan penyerang tanpa pengesahan membaca atau merosakkan memori proses, dengan kemungkinan kebocoran maklumat, gangguan perkhidmatan atau peningkatan keistimewaan.

Namun, pemasangan pakej terjejas sahaja tidak bermakna aplikasi terdedah. Laluan yang dinyatakan termasuk penyahmampatan permintaan ASP.NET Core, penyahmampatan respons automatik HttpClient dan penggunaan terus API Brotli dalam System.IO.Compression untuk memproses data yang dikawal penyerang.

Penyahmampatan automatik tersebut tidak diaktifkan secara lalai dalam ASP.NET Core dan HttpClient. Microsoft juga menjelaskan bahawa .NET Framework tidak terjejas oleh isu Brotli ini. Perbezaan ini membantu pasukan menilai konfigurasi sebenar tanpa menganggap semua aplikasi berlabel .NET mempunyai pendedahan yang sama.

Sumber: Microsoft Security Advisory CVE-2026-111497 - .NET Brotli Decoder Out-of-bounds Write Vulnerability.

Cara aplikasi dibungkus menentukan lokasi pembaikan

Dokumentasi Microsoft membezakan dua kaedah penerbitan utama. Aplikasi framework-dependent menggunakan runtime yang tersedia dalam persekitaran tempat ia berjalan. Aplikasi self-contained pula membawa runtime bersama fail aplikasinya, maka mesin sasaran tidak perlu mempunyai pemasangan runtime berasingan.

Untuk keluaran keselamatan ini, Microsoft mengarahkan pengguna aplikasi framework-dependent memasang runtime yang dikemas kini dan memulakan semula aplikasi. Aplikasi self-contained perlu dibina serta diterbitkan semula dengan runtime baharu. Kontena pula perlu dibina dan digunakan semula berasaskan imej .NET yang dikemas kini.

Perbezaan tersebut menerangkan mengapa semakan versi pada pelayan hanya menjawab sebahagian persoalan. Fail aplikasi yang diedarkan juga perlu dipadankan dengan kaedah penerbitannya.

Sumber: .NET October 2026 Out-of-Band Security Updates; .NET application publishing overview.

Pakej Blazor dan arkib Linux memerlukan perhatian berasingan

Nota keluaran .NET 10.0.14 menyatakan bahawa rujukan pakej Microsoft.AspNetCore.Components.WebAssembly.Server dan Microsoft.AspNetCore.Components.WebAssembly.DevServer yang terjejas perlu dikemas kini kepada 10.0.14. Mengemas kini runtime bersama tidak mengubah rujukan pakej tersebut.

Nota yang sama menerangkan pembaikan pemilikan fail bagi arkib tar Linux .NET 10 yang dihasilkan melalui source-build. Skop ini tidak merangkumi arkib runtime atau SDK biasa yang diterbitkan Microsoft. Memuat turun arkib baharu juga tidak membetulkan pemilikan fail dalam pemasangan sedia ada secara automatik.

Butiran ini menunjukkan kepentingan membaca arahan mengikut komponen: nombor versi runtime, rujukan pakej projek dan asal pemasangan ialah perkara berbeza yang perlu dikenal pasti.

Sumber: .NET 10.0.14 - October 25, 2026.

Cadangan editorial untuk pasukan dan pelajar di Malaysia

Sebagai cadangan editorial, pasukan yang menyelenggara portal pelanggan, sistem dalaman atau aplikasi kampus boleh menyediakan inventori ringkas bagi setiap aplikasi: pemilik teknikal, cabang .NET, kaedah penerbitan, penggunaan Brotli dan bukti kemas kini. Ini ialah contoh amalan kerja, bukan dakwaan bahawa sistem Malaysia tertentu telah terjejas.

Ambil contoh rekaan sebuah syarikat yang mempunyai portal web dan utiliti desktop. Jangan tutup tugasan keselamatan hanya kerana pelayan portal sudah dikemas kini. Minta pemilik setiap aplikasi menunjukkan pakej yang digunakan, keputusan ujian dan versi yang benar-benar berjalan selepas pemasangan.

Untuk latihan portfolio, pelajar boleh menerbitkan aplikasi kecil melalui kedua-dua kaedah, kemudian mendokumentasikan perbezaan kandungan pakej serta proses kemas kininya. Gunakan data ujian biasa dan catat hasil sebenar. Latihan ini memberi bahan perbincangan teknikal yang jelas tentang penyelenggaraan perisian, tanpa memerlukan eksploitasi kelemahan.

Pasukan juga wajar menetapkan ujian fungsi utama dan pelan pemulihan sebelum pelaksanaan. Simpan bukti yang menghubungkan perubahan kod atau pakej kepada aplikasi yang telah diuji, supaya status selesai boleh disemak oleh rakan sepasukan.

Rujukan

• .NET October 2026 Out-of-Band Security Updates — 2026-10-25
• Microsoft Security Advisory CVE-2026-111497 - .NET Brotli Decoder Out-of-bounds Write Vulnerability — 2026-10-25
• .NET 10.0.14 - October 25, 2026 — 2026-10-25
• .NET application publishing overview

Disediakan secara automatik dengan bantuan AI berdasarkan sumber yang dipautkan. Semakan sumber: 2026-10-29. Gambar utama ialah ilustrasi janaan AI, bukan foto peristiwa sebenar.