KB5082413 — Mise à jour cumulative pour .NET Framework 3.5 et 4.7.2 pour Windows 10 Version 1809

Aperçu

KB5082413 est une mise à jour cumulative de sécurité et de fiabilité pour .NET Framework 3.5 et 4.7.2, publiée le 14 avril 2026. Cette mise à jour cible spécifiquement les systèmes Windows 10 Version 1809 (Build 17763) et Windows Server 2019 sur les architectures x86, x64 et ARM64. La mise à jour corrige plusieurs vulnérabilités de sécurité critiques tout en améliorant la stabilité et les performances du framework.

Description du problème

Avant cette mise à jour, les systèmes exécutant .NET Framework 3.5 et 4.7.2 sur Windows 10 Version 1809 rencontraient plusieurs problèmes critiques :

• Vulnérabilités de sécurité : Deux CVE critiques (CVE-2026-0987 et CVE-2026-0988) permettaient l'élévation de privilèges et des attaques par déni de service via le traitement XML et la gestion des requêtes ASP.NET
• Problèmes de gestion de la mémoire : Les services WCF présentaient des fuites de mémoire sous des conditions de débit élevé, entraînant une dégradation progressive des performances
• Problèmes de connectivité de base de données : Les applications Entity Framework subissaient des plantages intermittents en raison de problèmes de gestion des pools de connexions
• Dégradation des performances de l'interface utilisateur : Les applications WPF montraient une réactivité réduite et une utilisation accrue du CPU dans des scénarios de rendu complexes

Ces problèmes affectaient principalement les environnements d'entreprise exécutant des applications et services web critiques.

Analyse de la cause racine

Les vulnérabilités de sécurité provenaient d'une validation d'entrée insuffisante dans les composants de traitement XML de .NET Framework, spécifiquement dans les classes XmlDocument et XPathNavigator. La vulnérabilité de déni de service ASP.NET résultait d'une gestion incorrecte des erreurs dans le pipeline de traitement des requêtes HTTP.

Les problèmes de performance provenaient de modèles de nettoyage de ressources sous-optimaux dans les implémentations de services WCF et d'un comportement inefficace de collecte des ordures dans des scénarios multi-thread. Les problèmes de connexion Entity Framework étaient causés par des conditions de concurrence dans la gestion des pools de connexions lors d'opérations de base de données à haute concurrence.

Systèmes affectés

La mise à jour nécessite spécifiquement que .NET Framework 3.5 et/ou 4.7.2 soit installé sur le système cible. Les systèmes sans ces versions de framework ne sont pas affectés par les vulnérabilités corrigées dans cette mise à jour.

Corrections de sécurité et améliorations

CVE-2026-0987 : Élévation de privilèges par traitement XML

Cette vulnérabilité critique permettait aux attaquants d'exécuter du code arbitraire avec des privilèges élevés via une entrée XML malveillante. La correction implémente une validation et une désinfection complètes des entrées dans toutes les opérations de traitement XML, y compris :

• Vérification des limites améliorée dans l'analyse XmlDocument
• Validation améliorée des transformations XSLT
• Renforcement de l'évaluation des expressions XPath

CVE-2026-0988 : Déni de service ASP.NET

La vulnérabilité permettait aux attaquants de faire planter les pools d'applications ASP.NET via des requêtes HTTP spécialement conçues. La mise à jour corrige cela en :

• Implémentant une gestion robuste des erreurs dans l'analyse des requêtes
• Ajoutant des limites de taille et de complexité des requêtes
• Améliorant la gestion de l'état de session sous accès concurrent

Améliorations de la fiabilité et des performances

Au-delà des corrections de sécurité, KB5082413 inclut des améliorations significatives de la fiabilité :

• Gestion de la mémoire WCF : Élimine les fuites de mémoire dans les scénarios de service à haut débit
• Stabilité Entity Framework : Résout les conditions de concurrence des pools de connexions et améliore la gestion des transactions
• Performance WPF : Optimise le pipeline de rendu et réduit l'utilisation du CPU dans les scénarios d'interface utilisateur complexes

Installation et déploiement

La mise à jour est livrée via les canaux standard de Windows Update et est également disponible pour téléchargement manuel depuis le catalogue Microsoft Update. Les environnements d'entreprise peuvent déployer la mise à jour en utilisant WSUS, SCCM ou Microsoft Intune.

L'installation nécessite environ 45 Mo d'espace disque sur les systèmes x64 et 28 Mo sur les systèmes x86. Un redémarrage du système est obligatoire pour compléter le processus d'installation et activer toutes les corrections de sécurité.

Considérations post-installation

Après l'installation de KB5082413, les administrateurs doivent vérifier que toutes les applications .NET Framework fonctionnent correctement. Certaines applications héritées utilisant des API obsolètes peuvent nécessiter des mises à jour pour maintenir la compatibilité avec les mesures de sécurité renforcées.

La mise à jour inclut des processus d'optimisation automatique qui peuvent temporairement augmenter les temps de démarrage des applications. Cet impact sur les performances est temporaire et se résout après que .NET Framework ait terminé ses routines d'optimisation.