Aviso de seguridad de Microsoft CVE-2026-70186 - Vulnerabilidad de denegación de servicio en ASP.NET Core
El aviso original ha cambiado desde que se preparó esta explicación. Consulta los datos técnicos actuales y el aviso original a continuación.
Resumen ejecutivo
Microsoft publica este aviso de seguridad para proporcionar información sobre una vulnerabilidad en Microsoft.AspNetCore.Server.Kestrel.Core. Este aviso también brinda orientación sobre lo que los desarrolladores pueden hacer para actualizar sus aplicaciones y eliminar esta vulnerabilidad.
Un atacante remoto no autenticado puede enviar secuencias de reinicio o anulación de HTTP/3 especialmente diseñadas que provocan un interbloqueo (deadlock) en la gestión de conexiones de Kestrel. Las solicitudes reiteradas pueden provocar la creación excesiva de subprocesos bloqueados y agotar los recursos del servidor, derivando en una denegación de servicio.
Anuncio
El anuncio sobre este problema se puede consultar en https://github.com/dotnet/announcements/issues/461
Detalles de CVSS
- Versión: 3.1
- Gravedad: Alta
- Puntuación: 7.5
- Vector:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H - Debilidad: CWE-833 (Interbloqueo / Deadlock)
Plataformas afectadas
- Plataformas: Windows, Linux, macOS con compatibilidad con HTTP/3
- Arquitecturas: Todas
Paquetes afectados
La vulnerabilidad afecta a proyectos de Microsoft .NET que utilicen alguna de las versiones de paquetes afectadas que se enumeran a continuación.
Preguntas frecuentes del aviso
¿Cómo sé si estoy afectado?
Si utiliza un paquete listado en los paquetes afectados, está expuesto a la vulnerabilidad.
¿Cómo soluciono el problema?
- Para solucionar el problema, instale la versión más reciente de .NET. Si ha instalado uno o más SDK de .NET mediante Visual Studio, este le solicitará que actualice Visual Studio, lo que también actualizará sus SDK de .NET.
- Si su aplicación hace referencia al paquete vulnerable, actualice la referencia del paquete a la versión corregida. Puede listar las versiones instaladas ejecutando el comando
dotnet --info.
Una vez instalado el entorno de ejecución (runtime) o SDK actualizado, reinicie sus aplicaciones para que la actualización surta efecto.
Además, si ha implementado aplicaciones autocontenidas (self-contained) orientadas a cualquiera de las versiones afectadas, estas aplicaciones también son vulnerables y deben recompilarse e implementarse nuevamente.
Otra información
Notificación de problemas de seguridad
Si ha detectado un posible problema de seguridad en una versión admitida de .NET, infórmelo al Microsoft Security Response Center (MSRC) a través del MSRC Researcher Portal.. Se puede encontrar más información en las Preguntas frecuentes sobre cómo informar de un problema del MSRC..
Los informes de seguridad presentados a través del MSRC pueden optar al programa Microsoft .NET Bounty. Los detalles del programa Microsoft .NET Bounty, incluidos los términos y condiciones, están en https://aka.ms/corebounty..
Soporte
Puede formular preguntas sobre este problema en GitHub dentro de la organización de GitHub de .NET. Los repositorios principales se encuentran en https://github.com/dotnet/runtime.. El repositorio Announcements (https://github.com/dotnet/Announcements)) contendrá este boletín como un issue e incluirá un enlace a un issue de debate donde formular consultas.
Descargo de responsabilidad
La información contenida en este aviso se proporciona "tal cual", sin garantía de ningún tipo. Microsoft renuncia a todas las garantías, ya sean expresas o implícitas, incluidas las garantías de comerciabilidad e idoneidad para un propósito particular. En ningún caso Microsoft Corporation o sus proveedores serán responsables de ningún daño, incluidos daños directos, indirectos, incidentales, consecuentes, lucro cesante o daños especiales, incluso si se ha notificado a Microsoft Corporation o a sus proveedores la posibilidad de tales daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuentes o incidentales, por lo que la limitación anterior podría no aplicarse.
Enlaces externos
Agradecimientos
- Kevin Gosse
- Muhammad Abdul Rehman
Revisiones
V1.0 (10/13/2026): Aviso publicado.
Qué hacer
- Instale la versión más reciente de .NET. Si instaló SDK de .NET a través de Visual Studio, aplique las actualizaciones que solicite Visual Studio para actualizar también los SDK.
- Si su aplicación utiliza el paquete afectado, actualice la referencia a la versión corregida. Puede consultar las versiones instaladas con el comando
dotnet --info.
Tras la instalación del runtime o SDK actualizado, reinicie las aplicaciones. Las aplicaciones autocontenidas) dirigidas a las versiones afectadas también son vulnerables y deben ser recompiladas y desplegadas nuevamente.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-arm | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-musl-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.linux-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.osx-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.osx-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-arm64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-x64 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
| .NET (NuGet) | Microsoft.AspNetCore.App.Runtime.win-x86 | >= 8.0.0, < 8.0.32, >= 10.0.0, < 10.0.13, >= 9.0.0, < 9.0.21 | 8.0.32, 10.0.13, 9.0.21 |
Referencias
- https://github.com/dotnet/aspnetcore/security/advisories/GHSA-mf4x-w4gh-4656
- https://github.com/dotnet/announcements/issues/461
- https://github.com/dotnet/aspnetcore
- https://github.com/dotnet/aspnetcore/discussions/69797
- https://nvd.nist.gov/vuln/detail/CVE-2026-70186
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-70186
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Debilidad (CWE)
CWE-833- Plataforma
- .NET (NuGet)
- Paquete
Microsoft.AspNetCore.App.Runtime.linux-arm, Microsoft.AspNetCore.App.Runtime.linux-arm64, Microsoft.AspNetCore.App.Runtime.linux-musl-arm- Publicada
- 13.10.2026
- Actualizado
- 19.10.2026 22:17
Fuentes y licencias · Editado o traducido por DockRay; se mantienen los derechos y las licencias de las fuentes.
OSV / GitHub Advisory Database - GHSA-mf4x-w4gh-4656 - CC BY 4.0
Historial de vulnerabilidades: Microsoft.AspNetCore.App.Runtime.linux-arm
Todas las vulnerabilidades publicadas de este paquete (.NET (NuGet)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 25
- Primera → última
- 05.2022 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 3
- Alta 19
- Media 3
Divulgaciones por año
- 2022: 12
- 2023: 1
- 2024: 5
- 2025: 2
- 2026: 5
-
Aviso de seguridad de Microsoft CVE-2026-70186 - Vulnerabilidad de denegación de servicio en ASP.NET Core esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.