微软发布紧急更新！修复9.1分高危漏洞
4月22日，微软发布了一则紧急的.NET带外安全更新，版本号直接跳到了10.0.7。这次更新非同小可，它修复了一个评分高达9.1的严重提权漏洞，属于必须立刻处理的那种。
这个漏洞的编号是CVE-2026-40372。简单来说，攻击者可以通过伪造认证Cookie并解密其中的安全载荷，实现权限提升。一旦得手，就能获取系统级别的权限，后果可想而知——读取敏感文件、篡改关键数据，几乎畅通无阻。
问题的根源，出在Microsoft.AspNetCore.DataProtection这个NuGet包里。微软的解释很技术，但核心意思不难理解：受管认证加密器在计算HMAC验证标签时，可能覆盖了载荷中的错误字节，随后又丢弃了计算出的哈希值。正是这个“小差错”，最终为权限提升打开了大门。
那么，哪些系统需要特别警惕呢？微软强调，所有在非Windows操作系统上运行、并且安装了.NET 10.0.6的设备，都会受到影响。
具体来看，受影响需要满足几个条件：首先，你的应用或库引用了NuGet上版本号在10.0.0到10.0.6之间的Microsoft.AspNetCore.DataProtection包。其次，构建过程使用了该包针对net462或netstandard2.0目标框架的资源——这意味着，即使你的应用目标框架不是net10.0（比如用的是net8.0、net9.0或net481），也可能中招。最后，应用还必须运行在Linux、macOS或其他非Windows系统上。这三个条件凑齐，风险就来了。
有意思的是，这个高危漏洞的发现过程有点“意外”。它是在.NET 10.0.6发布之后才被揪出来的。当时微软正在调查用户报告的一些解密失败问题，结果顺藤摸瓜，发现了这个隐藏在背后的、更严重的安全漏洞。所以，这次发布的10.0.7版本是一举两得，同时修复了那个导致回归的解密Bug和这个高危安全漏洞。
面对这种级别的漏洞，行动建议非常明确：受影响的用户应该尽快下载并安装.NET 10.0.7更新。安装后，别忘了通过命令行运行一下`dotnet --info`，确认版本已经成功更新到最新。最后，关键一步是，务必使用更新后的包重新构建和部署所有依赖软件。这才是彻底堵上漏洞的关键所在。
