.NET 8 y .NET 9 reciben uno de sus últimos parches: qué actualizar hoy y cómo planear el salto a .NET 10

Este martes 13 de octubre de 2026 Microsoft publicó las actualizaciones de octubre de .NET: .NET 10.0.13, 9.0.21 y 8.0.32. Traen dos noticias para quien programa en C#: es una tanda de seguridad inusualmente grande y, para .NET 8 y .NET 9, es una de las últimas que van a recibir. Ambas versiones quedan sin soporte el 10 de noviembre de 2026, dentro de 28 días.

Qué corrige el parche de octubre

Según las notas oficiales de cada versión, .NET 10.0.13 corrige 44 vulnerabilidades (CVE), .NET 9.0.21 corrige 40 y .NET 8.0.32, 39. Tres merecen atención especial:

• CVE-2026-105016 (Microsoft QUIC): crítica, con CVSS de 9,8. Según el aviso de seguridad, un paquete QUIC manipulado que llega por IPv6 a la ruta de HTTP/3 puede ejecutar código sin autenticación ni interacción del usuario. Afecta a .NET 8, 9, 10 y 11 RC2 en Windows.
• CVE-2026-108398 (.NET Framework): permite saltarse Windows Defender Application Control (WDAC) colocando un ensamblado preparado. Tiene CVSS de 8,8 y ya era pública antes del parche, según Zero Day Initiative y BleepingComputer. Se corrige con la actualización de .NET Framework de octubre, que llega por Windows Update.
• CVE-2026-92707 (MessagePack-CSharp): denegación de servicio de severidad moderada, también conocida públicamente antes del parche. Si usas MessagePack, revisa también su versión en NuGet.

Qué pasa el 10 de noviembre

El anuncio de Microsoft es directo: después de esa fecha no habrá actualizaciones de servicio, correcciones de seguridad ni soporte técnico para .NET 8 ni .NET 9. Las aplicaciones seguirán funcionando, pero las fallas nuevas quedarán abiertas. Ese día, martes de parches, solo habría una última actualización si existe un problema crítico conocido.

Caen juntas porque .NET 8 es LTS (tres años de soporte) y .NET 9 es STS, cuyo soporte Microsoft amplió de 18 a 24 meses. La versión a la que conviene apuntar es .NET 10, LTS con soporte hasta noviembre de 2028 según la política oficial. Ese mismo martes salió .NET 11 RC2, con licencia go-live para producción; la versión final se espera para noviembre.

Qué hacer esta semana

1. Inventaria. En cada servidor y máquina de build ejecuta dotnet --list-runtimes y dotnet --list-sdks. Incluye contenedores y pipelines de CI.
2. Aplica el parche. Instala 10.0.13, 9.0.21 u 8.0.32 según corresponda y reconstruye tus imágenes. Las apps que dependen del runtime instalado toman solas el parche más reciente; las autocontenidas (self-contained) hay que volver a publicarlas.
3. Prioriza lo expuesto. Los servicios en Windows con HTTP/3 habilitado van primero por la falla de QUIC.
4. Revisa dependencias. dotnet list package --vulnerable --include-transitive muestra los paquetes NuGet con vulnerabilidades conocidas.
5. Haz que el build te avise. Con la propiedad de MSBuild CheckSdkVulnerabilities en true, la compilación emite la advertencia NETSDK1239 cuando el SDK ya no tiene soporte, según la documentación de .NET.
6. Planifica el salto a .NET 10. En una rama aparte, cambia el TargetFramework a net10.0, actualiza paquetes y corre tus pruebas. Microsoft declaró obsoleto el .NET Upgrade Assistant y recomienda su agente GitHub Copilot upgrade, que evalúa el proyecto, arma un plan y hace un commit por cada cambio. Revisa cada cambio antes de aceptarlo.

Cómo lo abordamos en SimCodec

En SimCodec desarrollamos y mantenemos software a medida para empresas de Quito y de todo Ecuador. En proyectos .NET hacemos el inventario de versiones y dependencias, aplicamos los parches de seguridad y migramos a .NET 10 por etapas, con pruebas y un plan de reversa.

Si tienes aplicaciones en .NET 8 o .NET 9 y quieres saber cuánto trabajo implica la migración, escríbenos o llama a nuestra asistente de IA Cyntia al +593 99 726 6838.