Trois liasses .NET du 13 octobre : 44 tampons, puis 42, puis 40

Le mardi a trois liasses sur le comptoir, et le billet d'entrée est tamponné de la veille. Le blog est daté du 12 octobre 2026. Son corps dit que .NET a été rafraîchi as of October 13, 2026, et que cette mise à jour contient des correctifs de sécurité et d'autres qui n'en sont pas. Les trois notes, elles, titrent October 13, 2026. Tu comptes les tampons CVE. 44 sur la 10. 42 sur la 9. 40 sur la 8. Si tu signes « la mise à jour d'octobre » sans dire quelle liasse, tu signes un total qui n'est pas sur les trois feuilles.

Le blog, signé Rahul Bhandari et Tara Overfield, a un tableau. Notes : 10.0.13, 9.0.21, 8.0.32. Il dit d'aller voir the CVE list for each supported version. Il ne dit pas que les trois listes sont la même. Plus bas, la ligne Release changelogs nomme ASP.NET Core: 10.0.13 et Runtime: 10.0.13 | 9.0.21. 8.0.32 n'est pas dans cette ligne. Il est dans le tableau du dessus. La bio de Rahul, sur la même page, imprime I specializes in .NET release processes. Je ne corrige pas le s.

Deux tampons rien que pour la 10, un rien que pour la 8

J'ai compté les puces qui contiennent CVE-2026- sous Notable Changes. 44 dans 10.0.13. 42 dans 9.0.21. 40 dans 8.0.32. Les trois sections disent que la sortie carries security and non-security fixes. Les trois mettent un lien MSRC sur chaque puce. Le titre de section n'est pas au même étage : ### Notable Changes sur la 10, ## Notable Changes sur la 9 et sur la 8. Docker Images est aussi en niveau 3 sur la 10, en niveau 2 sur les deux autres. La première phrase n'a pas la même forme. La 10 dit que the .NET 10.0.13 release est disponible. La 9 dit que the .NET 9.0.21 and .NET SDK 9.0.319 releases le sont. La 8 dit la même chose avec 8.0.32 et le SDK 8.0.426.

Les tampons qui ne sont pas sur les trois liasses. Rien que sur 10.0.13 : CVE-2026-96957, .NET SDK Security Feature Bypass, et CVE-2026-102870, ASP.NET Core Remote Code Execution. Sur la 10 et la 9, pas sur la 8 : CVE-2026-70161, CVE-2026-70165 et CVE-2026-70190, les trois titrés .NET SDK Elevation of Privilege. Rien que sur 8.0.32 : CVE-2026-96222, .NET Spoofing. 44 moins ces deux-là, c'est 42. 42 moins ces trois-là, plus le spoofing, c'est 40. Le partage qui reste, si tu retires tout ce qui n'est pas sur les trois, fait 39. Je ne dis pas que le binaire de la 8 n'a pas le correctif 96957. Je dis que la puce n'est pas sur sa note.

Le numéro de SDK imprimé dans l'exemple n'est pas le seul de la liste

Chaque note liste deux SDK, et l'exemple dotnet --version n'en imprime qu'un. 10.0.13 : 10.0.402 et 10.0.113, l'exemple affiche 10.0.402, sous un intertitre de niveau 3 qui ne nomme que celui-là. 9.0.21 : 9.0.319 et 9.0.122, l'exemple affiche 9.0.319. 8.0.32 : 8.0.426 et 8.0.132, l'exemple affiche 8.0.426.

Le paragraphe Visual Studio non plus n'est pas le même carton. La 10 recommande la dernière Visual Studio 18.11. Elle ne dit pas « or later ». Elle nomme Visual Studio Code et le C# Dev Kit. Elle ne parle pas de Visual Studio pour Mac. La 9 dit qu'il faut Visual Studio 17.12 or later, et que un support rudimentaire, pas officiellement supporté, existe dans Visual Studio pour Mac, derrière une option d'aperçu dans Preferences. La 8 dit 17.10 or later, et le même paragraphe sur le Mac. 17.12 n'est pas 17.10. 18.11 n'est pas écrit « or later ».

Trois étiquettes, une fin au 10 novembre

La page de support, tableau des versions supportées. .NET 10, sortie originale le November 11, 2025, dernier correctif 10.0.13 le October 13, 2026, LTS, phase Active, fin le November 14, 2028. .NET 9, November 12, 2024, 9.0.21 le 13 octobre, STS, Maintenance, fin le November 10, 2026. .NET 8, November 14, 2023, 8.0.32 le 13 octobre, LTS, Maintenance, fin le November 10, 2026. La 8 est marquée LTS. La 9 est marquée STS. Les deux cases de fin impriment le même jour.

Le tableau Go-live, sur la même page. .NET 11 RC2, sortie le October 13, 2026, fin de support le November 10, 2026. Le même 10 novembre que la 8 et la 9. .NET 11 RC1, sortie le September 8, 2026, fin le October 13, 2026, le jour des trois liasses et le jour imprimé pour la RC2. Le blog a, dans « read next », un billet daté du October 13, 2026 titré Announcing .NET 11 Release Candidate 2. Je ne l'ai pas ouvert. Je ne lui prête pas une liste de CVE.

La prose, au-dessus, dit que les sorties LTS reçoivent support et correctifs for three years, et que les STS en reçoivent for two years. Plus bas, elle précise : une STS est supportée one year after a subsequent release, les sorties ont lieu every 12 months, donc la période STS est two years. Cette page-là raccorde elle-même « un an après » et « deux ans ». Je ne les oppose pas.

Elle dit aussi, sous Release types, qu'une LTS est supportée for three years after the initial release. La date originale imprimée pour .NET 8 est le 14 novembre 2023. Trois ans après ce jour, c'est le 14 novembre 2026. La case End of support imprimée est le 10 novembre 2026. La date originale de .NET 10 est le 11 novembre 2025. Trois ans après, c'est le 11 novembre 2028. La case imprimée est le 14 novembre 2028. L'anniversaire, je le calcule. La page ne l'imprime pas. Elle imprime la phrase, et elle imprime les cases.

✍️ À toi : la liasse que tu as vraiment eue, 10, 9 ou 8, et le tampon que tu y as cherché. 96222 n'est écrit que sur la 8. 102870 n'est écrit que sur la 10.

Le 12 octobre, le blog annonce la mise à jour et date le corps du 13. Le 13, trois notes comptent 44, 42 et 40 CVE, toutes liées vers le MSRC, et la ligne des changelogs du blog ne nomme pas la 8.0.32. Cinq tampons d'élévation ou de contournement SDK ne sont pas sur la 8, le spoofing 96222 n'est pas sur la 10 ni sur la 9, et 96957 plus 102870 ne sont que sur la 10. Le tableau de support fait finir la 8, la 9 et la RC2 le 10 novembre 2026, et il fait finir la RC1 le jour même des trois liasses. La phrase dit trois ans après la sortie initiale. Les cases impriment un autre jour. Trois liasses. Un billet de la veille. Un total qui dépend de la feuille.