Aviso Ubuntu USN-8958-1: três falhas no .NET com risco de execução de código e elevação de privilégios

O que aconteceu e o que fazer

O aviso, publicado pela Ubuntu Security em 29 de outubro de 2026, trata de três CVEs no .NET. A primeira, CVE-2026-102870, envolve o proxy de depuração do Blazor WebAssembly, que não escapava corretamente determinados valores e poderia permitir execução de código arbitrário. A correção publicada anteriormente em USN-8942-1 foi considerada incompleta, e o problema afetava apenas dotnet10 e dotnet11. A segunda, CVE-2026-111497, afeta a biblioteca de descompressão Brotli usada pelo .NET, que tratava incorretamente determinados fluxos comprimidos e pode causar negação de serviço ou execução de código por um invasor remoto. A terceira, CVE-2026-114148, reportada por Alen Cheung, refere-se à propriedade de arquivos tratada incorretamente pelo .NET e pode permitir elevação local de privilégios.

Na prática, uma empresa precisa primeiro levantar quais servidores, contêineres e pipelines de build executam dotnet10 ou dotnet11 e onde o Blazor WebAssembly roda em modo de depuração, já que a correção anterior não foi suficiente. Em seguida, deve aplicar as atualizações do Ubuntu, reiniciar os serviços afetados e validar a versão efetiva do runtime em produção. Também vale restringir o proxy de depuração a ambientes de desenvolvimento, revisar permissões de arquivos em hosts compartilhados e monitorar logs de falhas e picos de consumo de CPU ou memória que possam indicar exploração. Esse trabalho é de inventário, correção e monitoramento de infraestrutura, podendo ser automatizado com scripts de coleta de versões e alertas, sem depender de IA.

Como a consultoria pode ajudar

A Wendelmaques pode fazer um diagnóstico do parque .NET da empresa, mapeando versões, exposições do proxy de depuração e permissões de arquivos, e propor um plano de correção. Depois, implementa a coleta automatizada de versões, um painel de exposição e alertas de monitoramento em sua própria infraestrutura, com operação contínua acordada.

Próximo passo

Se a sua empresa usa .NET em servidores ou pipelines, envie uma breve descrição do seu ambiente e do seu caso para receber uma proposta de escopo com diagnóstico, prazos e formato de contratação.