Ubuntu 於 2026 年 10 月 20 日與 29 日先後發布 USN-8942-1 及 USN-8958-1，更新 .NET 8 與 .NET 10 執行環境，前者涵蓋 28 個 CVE。使用 ASP.NET Core 架設網站或 API 的主機，應確認執行環境已更新到修補版本。
漏洞重點
CVE-2026-111497：.NET 使用的 Brotli 解壓縮函式庫處理特製壓縮串流時出錯，遠端攻擊者可能造成服務中斷或執行任意程式碼。Ubuntu 標示優先級 High，CVSS 9.8（Critical）。網站若接受 Brotli 壓縮的請求內容，風險較高。CVE-2026-114148：特定情況下檔案擁有者處理不當，可能被用來在本機提升權限。CVE-2026-102870：Blazor WebAssembly 偵錯代理未正確跳脫特定值，可能執行任意程式碼（CVSS 8.8）。USN-8942-1 的修補不完整，USN-8958-1 再次修正；這項只影響 .NET 10 與 .NET 11。- USN-8942-1 另含 27 個 CVE，透過升級上游版本一併修補（.NET 8 升至 8.0.32）。
來源：Ubuntu USN-8942-1、Ubuntu USN-8958-1。
Ubuntu 官方修補版本（USN-8958-1）
| Ubuntu 版本 | 套件 | 修補版本（SDK－執行環境） |
|---|---|---|
| 24.04 LTS | dotnet8 | 8.0.133-8.0.33-0ubuntu1~24.04.1 |
| 22.04 LTS | dotnet8 | 8.0.133-8.0.33-0ubuntu1~22.04.1 |
| 26.04 LTS | dotnet10 | 10.0.114-10.0.14-0ubuntu1~26.04.1 |
| 24.04 LTS | dotnet10 | 10.0.114-10.0.14-0ubuntu1~24.04.1 |
注意：
- 通告中 26.04 LTS 與 26.10 只有 .NET 10／11 的套件，沒有 .NET 8；從舊版升級到 26.04 LTS 前，須確認應用程式改用 .NET 10，或改從 Microsoft 官方套件庫安裝 .NET 8。
- Ubuntu 25.10 已結束支援，不再收到 .NET 修補。
- 依 Microsoft 支援政策，.NET 8（LTS，最新 8.0.33）與 .NET 9（STS，最新 9.0.22）都在 2026 年 11 月 10 日結束支援，之後不再發布安全修補，應規劃移轉到 .NET 10（LTS，支援至 2028 年 11 月 14 日）。
更新與確認方式
sudo apt-get update
sudo apt-get install --only-upgrade 'dotnet*' 'aspnetcore*'
dotnet --list-runtimes
dotnet --list-sdks執行環境更新後，正在運作的 ASP.NET Core 服務仍載入舊版，須逐一重新啟動（例如 sudo systemctl restart 服務名稱），並確認網站回應正常。自含式發布（self-contained）的應用程式內附執行環境，不受系統套件更新影響，須用修補後的 SDK 重新建置並部署。
整理日期：2026 年 11 月 5 日。本文為官方安全通告摘要與管理操作說明，不代表個別主機已遭入侵。