CVE-2026-96960: уязвимость отказа в обслуживании в Microsoft .NET
В Microsoft .NET выявлена уязвимость асимметричного потребления ресурсов, позволяющая неавторизованному атакующему вызвать отказ в обслуживании по сети. Проблема затрагивает ряд версий .NET Framework и компонент System.Security.Cryptography.Xml. Уровень опасности — HIGH (CVSS 7.5).
Подробности
Согласно описанию, уязвимость относится к классу «асимметричное потребление ресурсов (усиление)» — Asymmetric resource consumption (amplification). Это означает, что сравнительно небольшой объём входных данных или незначительные усилия со стороны атакующего приводят к непропорционально большим затратам ресурсов на стороне целевой системы. В результате неавторизованный злоумышленник может инициировать отказ в обслуживании по сети, не имея учётных данных и не обладая локальным доступом. Под уязвимость попадают следующие продукты: - Microsoft .NET Framework 3.5; - Microsoft .NET Framework 3.5 в сочетании с 4.6.2/4.7/4.7.1/4.7.2; - Microsoft .NET Framework 3.5 в сочетании с 4.7.2; - Microsoft .NET Framework 3.5 в сочетании с 4.8; - Microsoft .NET Framework 3.5 в сочетании с 4.8.1; - Microsoft .NET Framework 4.6.2/4.7/4.7.1/4.7.2; - Microsoft .NET Framework 4.8; - Microsoft .NET Framework 4.8.1; - Microsoft System.Security.Cryptography.Xml. Оценка CVSS 7.5 отражает высокую степень риска: уязвимость эксплуатируется удалённо, не требует аутентификации и приводит к нарушению доступности сервиса — то есть к недоступности приложений для легитимных пользователей. Целостность и конфиденциальность данных при этом, судя по описанию, напрямую не затрагиваются.Что делать
Основная рекомендация — установить официальные обновления безопасности от Microsoft, закрывающие CVE-2026-96960. Проверьте наличие актуальных патчей для ваших версий .NET Framework, включая сборки 3.5, 4.6.2, 4.7.x, 4.8 и 4.8.1, а также для компонента System.Security.Cryptography.Xml. Поскольку уязвимые версии перечислены в явном виде, важно свериться с точным составом установленных компонентов, а не только с версией среды выполнения. Дополнительные меры: - Проведите инвентаризацию приложений и сервисов, использующих .NET Framework, чтобы определить реальную зону воздействия. - При невозможности немедленного обновления рассмотрите временные митигации: ограничение сетевого доступа к уязвимым сервисам, фильтрацию подозрительного трафика и усиление мониторинга аномалий по потреблению ресурсов (CPU, память, число соединений). - Настройте оповещения о резких скачках нагрузки, связанных с обработкой внешних запросов, — это поможет быстрее заметить попытку эксплуатации. - Отслеживайте официальные бюллетени Microsoft и обновления cvelistV5 по данному идентификатору для уточнения деталей и статуса исправлений. Итог: CVE-2026-96960 — удалённо эксплуатируемая уязвимость отказа в обслуживании в Microsoft .NET с высоким рейтингом CVSS 7.5, затрагивающая широкий спектр версий .NET Framework и компонент System.Security.Cryptography.Xml. Ключевое действие для защиты — как можно скорее применить официальные обновления; до их установки рекомендуется ограничить внешний доступ к уязвимым сервисам и усилить контроль нагрузки.Источник: CVE Project (cvelistV5)