CVE-2026-50646: .NET Framework Remote Code Execution Vulnerability

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• microsoft .net9.0.0 и новее · до 9.0.18
• microsoft .net8.0.0 и новее · до 8.0.29
• microsoft .net framework3.5
• microsoft .net framework4.6.2
• microsoft .net framework4.7
• microsoft .net framework4.7.1
• microsoft .net framework4.7.2
• microsoft .net framework4.8
• microsoft .net framework4.8.1
• microsoft visual studio 202217.12.0 и новее · до 17.12.22
• microsoft visual studio 202217.14.0 и новее · до 17.14.36
• microsoft visual studio 202618.7.0 и новее · до 18.7.4

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (microsoft). Не зависят от анализа CPE в NVD и обычно опережают его.

• Microsoft .NET 8.0 runtime

  • 8.0.0 и новее · до 8.0.29затронута

• Microsoft .NET 9.0 runtime

  • 9.0.0 и новее · до 9.0.18затронута

• Microsoft Microsoft .NET Framework 3.5

  • 3.5.0 и новее · до 2.0.50727.8983 & 3.0.30729.8978затронута

• Microsoft Microsoft .NET Framework 3.5 AND 4.7.2

  • 4.7.0 и новее · до 2.0.50727.8983 & 3.0.30729.8978 & 4.7.4143.0затронута

• Microsoft Microsoft .NET Framework 3.5 AND 4.8

  • 4.8.0 и новее · до 2.0.50727.9069 & 3.0.30729.9067 & 4.8.4803.0затронута

• Microsoft Microsoft .NET Framework 3.5 AND 4.8.1

  • 4.8.1 и новее · до 2.0.50727.9182 & 3.0.30729.9168 & 4.8.9339.0затронута

• Microsoft Microsoft .NET Framework 4.6.2/4.7/4.7.1/4.7.2

  • 4.7.0 и новее · до 4.7.4143.0затронута

• Microsoft Microsoft .NET Framework 4.8

  • 4.8.0 и новее · до 4.8.4803.0затронута

• Microsoft Microsoft Visual Studio 2022 version 17.12

  • 17.12.0 и новее · до 17.12.22затронута

• Microsoft Microsoft Visual Studio 2022 version 17.14

  • 17.14.0 и новее · до 17.14.36затронута

• Microsoft Microsoft Visual Studio 2026 version 18.7

  • 18.0 и новее · до 18.7.4затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2020-0646A remote code execution vulnerability exists when the Microsoft .NET Framework fails to validate input properly, aka '.NET Framework Remote KEV
  99Срочно
• CVE-2024-29059.NET Framework Information Disclosure VulnerabilityKEV
  90Срочно
• CVE-2017-8759Microsoft .NET Framework 2.0, 3.5, 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2 and 4.7 allow an attacker to execute code remotely via a malicious documeKEV
  88Срочно

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-5052514 июл. 2026 г. · .NET Denial of Service Vulnerability
  30Наблюдать
• ← РаньшеCVE-2026-5052714 июл. 2026 г. · .NET Framework Denial of Service Vulnerability
  30Наблюдать
• Позже →CVE-2026-5064814 июл. 2026 г. · .NET Framework Denial of Service Vulnerability
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Данные, полученные по сети, десериализуются в собственный объектный формат языка без проверки источника. Во время десериализации могут быть задействованы пути выполнения кода внутри объекта.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1payload = sock.recv(65536)2job = pickle.loads(payload)

1payload = sock.recv(65536)2if not hmac.compare_digest(sign(payload), header_sig):3    raise PermissionError("недействительная подпись")4job = JobSchema.validate(json.loads(payload))

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.