Atualização de segurança do .NET 8 a 11 saiu em 10/11
A Microsoft publicou as atualizações de novembro de 2026 para .NET 10, .NET 9 e .NET 8, e o post de servicing também cobre o .NET 11. A tabela de segurança lista vulnerabilidades de elevação de privilégio, negação de serviço, vazamento de informação e execução remota de código no Visual Studio, cada uma com CVE próprio.
Na prática, quem roda ASP.NET Core ou .NET em produção deve aplicar o patch da sua versão. As notas de cada CVE dizem quais produtos e versões são afetados, então vale conferir a lista antes de planejar a janela de deploy.
Para quem usa .NET: Atualize o runtime e o SDK para o patch de novembro da sua versão (8, 9, 10 ou 11) assim que possível.
Fonte: Microsoft .NET Blog
LLM 0.37.2 corrige envio da chave da OpenAI a outro endpoint
A GitHub Security Advisory publicada em 11/11 descreve um problema no LLM, a ferramenta de linha de comando de Simon Willison. Modelos declarados em extra-openai-models.yaml com api_base e api_key_name podiam receber a variável OPENAI_API_KEY e enviá-la a um endpoint customizado, mesmo sem a chave ter sido armazenada.
A versão afetada é a anterior à 0.37.2, e a correção já está nessa release. Quem usa o LLM com provedores compatíveis com a API da OpenAI deve atualizar e revisar o arquivo de configuração.
Para quem usa .NET: Quase não se aplica a .NET, mas vale para quem usa o LLM em scripts de automação junto com projetos .NET.
Fonte: GitHub Security Advisory GHSA-v9h7-jj4g-f862
Secret scanning passa a ler logs do GitHub Actions
Desde 9/11, o secret scanning do GitHub também analisa os logs dos workflows do Actions depois que a execução termina. Antes, a varredura cobria issues, wikis, discussões e pull requests, mas não o que o job imprimia no console.
O recurso está em public preview. Ele ajuda a pegar um token que vazou no log de um build, mas não substitui rotacionar a chave assim que houver suspeita de exposição.
Para quem usa .NET: Pipelines de build .NET que imprimem variáveis de ambiente ganham uma rede extra de proteção.
Fonte: GitHub Changelog
Minha leitura
Das três, a atualização do .NET é a única que exige ação de quem roda produção: patch de segurança com elevação de privilégio e negação de serviço não espera o próximo ciclo. A falha do LLM importa mais pelo padrão do que pelo tamanho: chave de provedor indo parar em endpoint errado é o tipo de erro que só aparece depois.
A varredura de logs do Actions é útil, mas o barulho está em tratar isso como cinto de segurança. Quem imprime segredo no log tem um problema de pipeline, e a correção é não imprimir.
Leia também
Precisa de ajuda com backend .NET e IA aplicada? Conheça o serviço.