觀點 · 資訊分享
.NET 8／9／10 八月安全更新補 10 個漏洞：WPF 占 5 個，WebSockets 與 HttpListener 也要留意
微軟在 8 月 11 日釋出 .NET 8.0.30、9.0.19、10.0.11，修補 10 個 CVE：5 個在 WPF，另有 QUIC、WebSockets、HttpListener 與診斷 IPC 等。自包含部署要重新編譯發佈。
- 發布
- 2026-08-12
- 篇幅
- 約 5 分鐘 · 2,362 字
- 結構
- 7 節 + 3 題常見問題
- 標籤
一句話看懂：微軟在 8 月 11 日釋出 .NET 8.0.30、9.0.19、10.0.11，一次修補 10 個安全漏洞：5 個在桌面程式用的 WPF，另外有 WebSockets 的服務阻斷、HttpListener 的請求走私等，用 .NET 的人請盡快更新。
先用白話講：這是每個月的「例行維修」
.NET 是很多網站、後台、桌面軟體共用的「底層零件」。微軟每個月第二個星期二（Patch Tuesday）會同步發出維修包，把這個月發現的問題補起來。這次是 8 月，三個仍在支援的版本（8、9、10）一起更新，內容也是同一批漏洞。
你可以把它想成汽車的定期召回：不是每個人都會遇到問題，但零件是共用的，所以每台車都該回廠檢查。
發生什麼事
依 .NET 官方部落格與 GitHub 公告，8 月 11 日釋出：
- .NET 10.0.11、.NET 9.0.19、.NET 8.0.30
- 同一批 10 個 CVE，三個版本都適用
- 官方公告沒有說任何一個已被實際攻擊
10 個漏洞分在哪裡？
依各個 CVE 的官方公告整理：
| 元件 | CVE 數 | 類型與評分（CVSS 3.1） | 平台 |
|---|---|---|---|
| WPF（桌面介面框架） | 5 | 3 個本機程式碼執行／提權 7.8、1 個 7.0、1 個資訊外洩 6.5（惡意文件導致 SSRF） | Windows |
| Microsoft QUIC | 1 | 資訊外洩 7.5（use-after-free，可經網路） | Windows |
| System.Net.WebSockets | 1 | 服務阻斷（DoS）7.5，可經網路 | Windows、Linux、macOS |
| System.Net.HttpListener | 1 | HTTP 請求走私導致安全功能被繞過 5.9 | Linux、macOS |
| .NET 診斷 IPC | 1 | 本機提權 6.7（共用資源的權限設定錯誤） | Linux、macOS |
| Microsoft.Build.Tasks.Git／SourceLink.AzureRepos.Git | 1 | 資訊外洩 5.9 | Windows、Linux、macOS |
註：官方標題寫「Remote Code Execution」的兩個（CVE-2026-70354、CVE-2026-62897），內文都是 WPF 的本機程式碼執行，CVSS 向量標示需要使用者操作，並不是從遠端直接打進來。
給開發者的技術細節
- 怎麼修：安裝最新的 .NET 執行階段或 SDK；用 Visual Studio 的人，Visual Studio 會提示更新並一併更新 SDK。更新後要重新啟動應用程式
- 自包含部署（self-contained）要重新編譯：官方明講，已部署的自包含應用程式也受影響，必須重新編譯並重新部署
- WPF 相關：受影響套件是
Microsoft.WindowsDesktop.App.Runtime.*，修補版本 10.0.11／9.0.19／8.0.30 - 跑網路服務的人：重點是 WebSockets 的 DoS（CVE-2026-62901，各平台都適用）與 HttpListener 的請求走私（CVE-2026-62899，Linux、macOS）。用到這些元件的服務建議優先更新
- 用 SourceLink 的人：CVE-2026-62900 影響
Microsoft.Build.Tasks.Git與Microsoft.SourceLink.AzureRepos.Git這兩個套件，記得檢查專案裡的引用版本 - 檢查目前版本：執行
dotnet --info
我的看法
我自己接 .NET 案子的時候，最常遇到的狀況不是「不知道要更新」，而是「不敢更新」：客戶主機上跑著好幾年沒動的服務，沒人想碰。但這次的清單裡，有直接可經網路觸發的 DoS（WebSockets），也有一堆桌面軟體（WPF）的本機執行漏洞，這些都是「放著就是風險」的類型。
我的建議流程很簡單：先列出你負責的專案用哪個 .NET 版本、是框架相依還是自包含；框架相依的更新主機上的執行階段；自包含的重新編譯發佈。更新前先在測試環境跑一遍，別直接動正式機。8、9、10 三個版本同時出，也提醒大家：如果你還在用已不支援的舊版，這種更新是拿不到的。
名詞小辭典
- WPF：Windows Presentation Foundation，微軟用來寫 Windows 桌面程式介面的框架。
- 自包含部署（Self-contained）：把 .NET 執行階段一起打包進你的應用程式，不依賴主機上安裝的版本。
- HTTP 請求走私：利用兩個系統對 HTTP 請求「解讀不一致」的落差，繞過防護。
- QUIC：新一代網路傳輸協定，HTTP/3 就是建立在它上面。