CVE-2026-40372: stato di sfruttamento e disponibilità della patch

CVE-2026-40372 · CVSS 9.1 CRITICAL · EPSS 11% · patch disponibile

Improper verification of cryptographic signature in ASP.NET Core allows an unauthorized attacker to elevate privileges over a network.

CVE-2026-40372 viene sfruttato?

• Non è nel catalogo CISA KEV.
• EPSS stima la probabilità di sfruttamento nei prossimi 30 giorni al 11%.
• Codice di exploit pubblico: nessuno trovato nelle fonti monitorate.

Quali prodotti e versioni sono interessati?

• Microsoft · ASP.NET Core 10.0 · >= 10.0, < 10.0.7
• Microsoft · Microsoft Visual Studio 2026 version 18.5 · >= 18.5.0, < 18.5.2

Esiste una patch?

Sì. Aggiorna a una di queste versioni o successive:

Dal record CVE di Microsoft · Advisory di Microsoft

• KB5091596
• Release Notes

Dalla Security Update Guide di Microsoft · Advisory di Microsoft

Cosa ha pubblicato PlainSec su CVE-2026-40372

• RDP phishing warning breaks on mixed-scale monitors (2026-04-25)
• ASP.NET Core token forgery leaves privileged sessions behind (2026-04-23)

Fonti primarie

• NVD record
• Microsoft KB5091596
• Microsoft Release Notes
• Microsoft advisory

KEV ed EPSS vengono ricontrollati ogni giorno. Scheda aggiornata il 2026-10-25.