注目★★★★★GitHub Advisory
.NET 11 RC1などにRCE脆弱性、CVSS 8.8で更新必須
30秒で把握
- 1Microsoft.DiaSymReader.Native に RCE 脆弱性、CVE-2026-71328 を公開
- 2CVSS 8.8 の High、Windows 全アーキテクチャと .NET 8〜11 が対象
- 3最新 .NET・Visual Studio またはパッケージ 18.9.0-beta1.26405.2 へ更新
要約
Microsoft は Microsoft.DiaSymReader.Native の処理に起因する CVE-2026-71328 を公開した。MSFZ PDB ファイルの処理でヒープベースのバッファオーバーフローが発生し、リモートコード実行につながる。CVSS 3.1 は 8.8 の High で、Windows の全アーキテクチャが対象となる。.NET 11 RC1、.NET 10、.NET 9、.NET 8 の影響パッケージを使うプロジェクトは、最新の.NET または Visual Studio に更新し、直接参照時は Microsoft.DiaSymReader.Native を 18.9.0-beta1.26405.2 以降へ更新する必要がある。更新後はアプリの再起動が必要になる。
あなたへの影響
Windows 上で対象パッケージを使う .NET 開発チームは、近日中に .NET または Visual Studio と依存パッケージの更新、アプリ再起動まで実施してください。
推奨：PDB はデバッグ情報を格納するファイル形式で、今回の問題はその処理時に発生します。