Уязвимость раскрытия информации в .NET — CVE-2026-66822

В начале января 2026 года в официальном каталоге CVE была опубликована информация об уязвимости CVE-2026-66822, затрагивающей платформу Microsoft .NET и связанные с ней средства разработки. Проблема относится к классу «раскрытие информации» (Information Disclosure) и имеет базовую оценку CVSS 5.9, что соответствует среднему уровню риска. Уязвимость затрагивает широкий спектр версий .NET, активно используемых в корпоративной разработке, что делает её актуальной для большинства компаний, работающих со стеком Microsoft.

Подробности

Согласно описанию CVE-2026-66822, уязвимость вызвана вставкой конфиденциальной информации в отправляемые данные (.NET Information Disclosure Vulnerability, CWE — Insertion of Sensitive Information into Sent Data). Это означает, что при определённых условиях платформа может включать чувствительные данные в сетевые ответы или иные исходящие сообщения, которые становятся доступны неавторизованному атакующему. Эксплуатация возможна удалённо, без предварительной аутентификации, что повышает практическую значимость угрозы. Под уязвимость подпадают следующие продукты:

• Microsoft .NET 8.0;
• Microsoft .NET 9.0;
• Microsoft .NET 10.0;
• Microsoft .NET 11.0;
• Microsoft Visual Studio 2022 версии 17.14;
• Microsoft Visual Studio 2026 версии 18.10.

Базовый вектор CVSS 5.9 указывает на среднюю критичность: уязвимость требует определённых условий для эксплуатации, однако способна привести к утечке конфиденциальных сведений. Точный характер данных, которые могут быть раскрыты, в записи CVE не детализируется, поэтому специалистам по безопасности следует исходить из того, что потенциально скомпрометированными могут оказаться любые чувствительные данные, обрабатываемые уязвимым приложением.

Что делать

Основная рекомендация — как можно скорее обновить затронутые продукты до актуальных версий, в которых проблема устранена. Microsoft обычно выпускает патчи в рамках ежемесячного «Patch Tuesday», поэтому стоит проверить наличие свежих обновлений для используемых версий .NET и Visual Studio и установить их. Дополнительные меры:

• провести инвентаризацию окружений и определить, какие системы используют уязвимые версии .NET и Visual Studio;
• ограничить сетевой доступ к приложениям на базе .NET до минимально необходимого, чтобы снизить вероятность удалённой эксплуатации;
• настроить мониторинг исходящего трафика и журналов приложений на предмет подозрительной активности, связанной с утечкой данных;
• если обновление невозможно в короткие сроки, рассмотреть временные компенсирующие меры: сегментацию сети, усиленную аутентификацию и фильтрацию трафика на периметре.

Итог: CVE-2026-66822 — уязвимость среднего уровня, но с учётом масштаба использования платформы .NET и Visual Studio она заслуживает внимания. Организациям, применяющим указанные версии, рекомендуется не откладывать обновление и проверить, не подвергались ли их системы компрометации.

Источник: CVE Project (cvelistV5)