微软为.NET 8/9/10发布紧急带外更新，并推出.NET 11 RC3，修复Brotli解压缩中的高危缓冲区溢出漏洞（CVE-2026-111497，评分8.1），该漏洞可导致信息泄露、拒绝服务或权限提升。受影响场景包括ASP.NET Core请求解压、HttpClient自动解压及直接调用Brotli API。更新前应避免解压不可信Brotli数据；自包含应用需用新运行时重建，容器需更新基础镜像后重新部署。

CVE-2026-111497 是谷歌 Brotli 解码器缺陷，影响范围超出 Node.js，可导致 .NET 原生崩溃、FFmpeg 经 libjxl 内存损坏、ClickHouse 崩溃及 Apache Arrow 无限解码循环。受影响的上游版本为 Brotli 1.0.3 至 1.0.10 之前、1.1.0 及 1.2.0 早期版本。部分项目已单独修复，需核查厂商补丁而非仅看版本号。团队应追踪不可信数据进入解压代码的路径。