🔴 《严重安全漏洞：CVE-2026-17687》

CVSS 评分: 严重（9.6）　　状态: Undergoing Analysis　　发布时间: 2026-07-30

漏洞简介

CVE-2026-17687 是 Google Chrome 浏览器中 ANGLE 组件的一个类型混淆（Type Confusion）漏洞，对应 CWE-843（使用不兼容类型访问资源）。该漏洞存在于 Chrome 151.0.7922.72 之前的版本中。

具体来说，攻击者可以通过构造恶意的 HTML 页面，利用 ANGLE 组件在处理图形渲染时的类型混淆缺陷。当攻击者已经成功攻破渲染进程（renderer process）后，可以进一步利用此漏洞绕过 Chrome 的沙箱（sandbox）机制，从而在浏览器沙箱之外执行任意代码。

该漏洞的 Chromium 安全评级为“高”（High）。

影响范围

  • 受影响软件：Google Chrome 浏览器（桌面版）
  • 受影响版本：所有早于 151.0.7922.72 的版本
  • 修复版本：Chrome 151.0.7922.72 及更高版本

风险分析

根据 CVSS 3.1 评分向量（AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H），该漏洞具有以下风险特征：

  • 攻击向量（AV:N）：远程攻击，无需物理接触目标设备。
  • 攻击复杂度（AC:L）：攻击复杂度低，利用条件相对容易满足。
  • 权限要求（PR:N）：攻击者无需任何权限即可发起攻击。
  • 用户交互（UI:R）：需要用户点击或访问攻击者提供的恶意 HTML 页面。
  • 影响范围（S:C）：漏洞利用后，影响范围会从沙箱内部扩展到整个系统（changed）。
  • 机密性影响（C:H）：可能导致敏感信息完全泄露。
  • 完整性影响（I:H）：攻击者可以修改系统数据或文件。
  • 可用性影响（A:H）：可能导致系统服务中断或完全崩溃。

攻击后果：攻击者首先需要攻破 Chrome 的渲染进程（例如通过另一个漏洞或恶意页面），然后利用此类型混淆漏洞实现沙箱逃逸（sandbox escape）。一旦成功，攻击者可以在用户系统上执行任意代码，完全控制受害者的计算机，包括窃取数据、安装恶意软件、监控用户活动等。由于攻击链需要先攻破渲染进程，实际利用通常需要结合其他漏洞，但一旦组合成功，危害极大。

🔍 技术细节

字段 值
CVE ID CVE-2026-17687
CVSS 评分 9.6 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CWE 分类 CWE-843
发布时间 2026-07-30
最后更新 2026-07-30
状态 Undergoing Analysis
数据来源 chrome-cve-admin@google.com

🔗 参考链接