🔴 《严重安全漏洞：CVE-2026-16361》

CVSS 评分: 严重（9.8）　　状态: Undergoing Analysis　　发布时间: 2026-07-21

漏洞简介

CVE-2026-16361 是一组存在于 Mozilla Firefox 浏览器扩展支持版（ESR）中的内存安全漏洞，相关 CWE 分类为 CWE-119（内存缓冲区操作限制不当）。该漏洞影响 Firefox ESR 115.37 和 Firefox ESR 140.12 版本。根据 Mozilla 安全公告（MFSA 2026-69 和 MFSA 2026-70），这些漏洞在 Firefox ESR 115.38 和 Firefox ESR 140.13 版本中已得到修复。

具体而言，该漏洞涉及多个内存安全缺陷（memory safety bugs），部分缺陷已显示出内存损坏（memory corruption）的证据。攻击者可能通过精心构造的输入或页面内容，利用这些缺陷触发内存访问越界、释放后使用（use-after-free）或堆栈溢出（buffer overflow）等问题。Mozilla 安全团队评估认为，在足够的时间和精力投入下，攻击者有可能利用这些漏洞实现任意代码执行（arbitrary code execution）。

影响范围

  • 受影响产品：Mozilla Firefox ESR（Extended Support Release，扩展支持版）
  • 受影响版本：
    • Firefox ESR 115.37（及之前版本）
    • Firefox ESR 140.12（及之前版本）
  • 修复版本：
    • Firefox ESR 115.38
    • Firefox ESR 140.13
  • CVSS 评分：9.8（严重）
    • 攻击向量：网络（AV:N）
    • 攻击复杂度：低（AC:L）
    • 所需权限：无（PR:N）
    • 用户交互：无（UI:N）
    • 影响范围：未改变（S:U）
    • 机密性影响：高（C:H）
    • 完整性影响：高（I:H）
    • 可用性影响：高（A:H）

风险分析

该漏洞的 CVSS 评分为 9.8（严重），表明其具有极高的安全风险。由于攻击者无需任何权限或用户交互，仅通过远程网络即可发起攻击，且攻击复杂度低，因此该漏洞极易被利用。

可能的攻击后果包括：

  1. 远程代码执行：攻击者可通过诱导用户访问恶意网页或加载特制内容，触发内存损坏漏洞，从而在受害者系统上执行任意代码。一旦成功，攻击者可完全控制受影响的浏览器进程，进而可能窃取敏感信息、安装恶意软件或进行横向移动。
  2. 数据泄露：利用内存损坏漏洞，攻击者可能读取浏览器进程内存中的敏感数据，例如密码、Cookie、浏览历史或加密密钥。
  3. 系统级影响：由于浏览器运行在用户权限下，若攻击者结合其他提权漏洞，可能进一步获得操作系统级别的控制权。

建议措施：所有使用受影响 Firefox ESR 版本的用户和组织应立即升级至 Firefox ESR 115.38 或 140.13 版本。对于无法立即升级的环境，建议限制浏览器对不可信网站的访问，并启用内容安全策略（CSP）等防御机制。

🔍 技术细节

字段 值
CVE ID CVE-2026-16361
CVSS 评分 9.8 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE 分类 CWE-119
发布时间 2026-07-21
最后更新 2026-07-21
状态 Undergoing Analysis
数据来源 security@mozilla.org

🔗 参考链接