CVE-2026-56158 — PoC-эксплойт для удалённого выполнения кода (RCE) в .NET Framework

Критический (CVSS 9.8) — десериализация недоверенных данных (CWE-502) в Microsoft .NET Framework и .NET Runtime Исправлено: 14 июля 2026 | Обнаружено: Positive Technologies (PT-2026-60174)

Обзор
Детали уязвимости
Затронутые версии
Векторы атак
Архитектура эксплойта
Структура файлов
Установка
Пошаговое использование
Тестирование
Обнаружение и укрепление защиты
Меры по смягчению
Ссылки
Отказ от ответственности
Лицензия

Обзор

CVE-2026-56158 — критическая уязвимость удалённого выполнения кода в Microsoft .NET Framework и .NET runtime. Проблема заключается в небезопасной десериализации недоверенных данных (CWE-502): когда .NET-приложение использует устаревшие сериализаторы (BinaryFormatter, NetDataContractSerializer, SoapFormatter, ObjectStateFormatter) или Json.NET с TypeNameHandling.All/Auto, неаутентифицированный удалённый злоумышленник может доставить специально сформированную сериализованную полезную нагрузку, которая при десериализации приводит к выполнению произвольного кода.

Уязвимость имеет базовую оценку CVSS 3.1 — 9.8 (критический) с вектором AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, что означает:

Вектор атаки: сетевой (физический доступ не требуется)
Сложность атаки: низкая
Требуемые привилегии: отсутствуют
Взаимодействие с пользователем: не требуется
Влияние: полная компрометация конфиденциальности, целостности и доступности

Microsoft выпустила обновления безопасности 14 июля 2026 года в рамках ежемесячного цикла Patch Tuesday.

Детали уязвимости

Поле	Значение
CVE ID	CVE-2026-56158
Название	Уязвимость удалённого выполнения кода в .NET Framework
CVSS 3.1	9.8 (критический) (`AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`)
CVSS 2.0	7.5 (высокий) (`AV:N/AC:L/Au:N/C:P/I:P/A:P`)
CWE	CWE-502 (десериализация недоверенных данных)
Опубликовано	14 июля 2026
Исправлено	14 июля 2026
Исследователь	Positive Technologies (PT-2026-60174)
EPSS	Оценка ещё не присвоена
CISA KEV	Не указан

Корневая причина

Устаревшие сериализаторы .NET runtime восстанавливают произвольные типы объектов из сериализованных потоков без проверки типа или содержимого. Когда злоумышленник контролирует сериализованные входные данные, он может направить десериализатор на создание экземпляров неожиданных типов, конструкторы, обратные вызовы или сеттеры свойств которых выполняют произвольный код, — это классическая атака с использованием цепочки гаджетов при десериализации.

Уязвимость затрагивает несколько механизмов сериализации:

BinaryFormatter — двоичный поток с метаданными типов; цепочка гаджетов TypeConfuseDelegate делегирует вызов Process.Start
NetDataContractSerializer — формат XML со встроенными сведениями о типах .NET; допускает прямое создание экземпляров типов
SoapFormatter — SOAP-конверт XML со ссылками на типы CLR; ProcessStartInfo встраивается в тело SOAP
ObjectStateFormatter — двоичный формат ASP.NET ViewState; Process.Start через поле ViewState
Json.NET (Newtonsoft.Json) — JSON с метаданными $type при включённом TypeNameHandling.All/Auto; гаджет ObjectDataProvider вызывает Process.Start

Затронутые версии

Продукт	Уязвимый диапазон	Исправленная версия	Статья KB
.NET 8.0	8.0.0 – 8.0.28	8.0.29	KB5100998
.NET 9.0	9.0.0 – 9.0.17	9.0.18	KB5100998
.NET 10.0	10.0.0 – 10.0.9	10.0.10	KB5101001
.NET Framework 3.5	Все до исправления	Исправлено	KB5100985
.NET Framework 4.6.2–4.7.2	Все до исправления	Исправлено	KB5100991
.NET Framework 4.8	Все до исправления	Исправлено	KB5101011
.NET Framework 4.8.1	Все до исправления	Исправлено	KB5101002
Visual Studio 2022 (17.12)	До исправления	17.12.x	—
Visual Studio 2022 (17.14)	До исправления	17.14.x	—
Visual Studio 2026 (18.7)	До исправления	18.7.x	—

Пакеты Alpine Linux:

dotnet8-runtime < 8.0.29-r0
dotnet9-runtime < 9.0.18-r0
dotnet10-runtime < 10.0.10-r0

Векторы атак

Данный PoC-эксплойт генерирует и доставляет полезные нагрузки через 5 различных форматов атак при десериализации:

1. BinaryFormatter (гаджет TypeConfuseDelegate)

Serialized Stream → BinaryFormatter.Deserialize() → TypeConfuseDelegate
  → Process.Start("cmd.exe", "/c calc.exe") → RCE

Формат: двоичный (сериализованный поток .NET)
Content-Type: application/octet-stream
Доставка: тело HTTP POST, файл
Гаджет: ActivitySurrogateSelector+ObjectSurrogate → TypeConfuseDelegate → Process.Start

2. NetDataContractSerializer

XML with type info → NetDataContractSerializer.ReadObject()
  → ProcessStartInfo instantiation → Process.Start → RCE

Формат: XML со встроенными сведениями о типах .NET
Content-Type: application/octet-stream или text/xml
Доставка: тело HTTP POST, конечная точка WCF

3. SoapFormatter

SOAP envelope → SoapFormatter.Deserialize()
  → ProcessStartInfo in SOAP body → Process.Start → RCE

Формат: SOAP-конверт XML со ссылками на типы CLR
Content-Type: text/xml
Доставка: SOAP-конечная точка WCF/ASMX

4. ObjectStateFormatter (ViewState)

ViewState binary → ObjectStateFormatter.Deserialize()
  → Process.Start via ViewState field → RCE

Формат: двоичный (формат ASP.NET ViewState)
Content-Type: application/octet-stream
Доставка: поле __VIEWSTATE в HTTP POST

5. Json.NET (TypeNameHandling.All)

JSON with $type → JsonConvert.DeserializeObject<T>(json, TypeNameHandling.All)
  → ObjectDataProvider.MethodName = "Start" → Process.Start → RCE

Формат: JSON с метаданными $type
Content-Type: application/json
Доставка: конечная точка REST API с TypeNameHandling.All или Auto

CVE-2026-56158-.NET-Framework-RCE-PoC-Exploit

Популярное