🔴 《严重安全漏洞：CVE-2026-18002》

CVSS 评分: 严重（9.6）　　状态: Undergoing Analysis　　发布时间: 2026-07-30

漏洞简介

CVE-2026-18002 是 Google Chrome 浏览器中 Google Lens 功能存在的一个安全漏洞。该漏洞源于对不可信输入的验证不足（Insufficient validation of untrusted input），对应 CWE-20（输入验证不当）。具体来说，在 Google Chrome 版本 151.0.7922.72 之前，当攻击者已经攻陷了渲染器进程（renderer process）后，可以通过精心构造的 HTML 页面，利用该漏洞实现沙箱逃逸（sandbox escape）。Chromium 安全评级为低危（Low）。

影响范围

  • 受影响软件：Google Chrome 浏览器（桌面版）
  • 受影响版本：所有早于 151.0.7922.72 的版本
  • 修复版本：Google Chrome 151.0.7922.72 及更高版本

风险分析

该漏洞的攻击链较为复杂，需要攻击者首先攻陷浏览器的渲染器进程，然后通过构造的 HTML 页面触发 Google Lens 中的输入验证缺陷，最终实现沙箱逃逸。沙箱逃逸意味着攻击者可以突破浏览器进程的隔离限制，在操作系统层面执行任意代码，从而获得与浏览器进程相同或更高的权限。

潜在攻击后果：

  • 攻击者可能窃取用户敏感数据（如密码、Cookie、文件等）
  • 安装恶意软件或后门程序
  • 进一步横向移动，攻击内网其他系统
  • 完全控制受影响的用户设备

CVSS 评分分析：

  • 攻击向量（AV）：网络（N），攻击者可通过网络远程发起攻击
  • 攻击复杂度（AC）：低（L），无需特殊条件
  • 权限要求（PR）：无（N），但需要先攻陷渲染器进程
  • 用户交互（UI）：需要（R），用户需访问恶意页面
  • 影响范围（S）：已改变（C），沙箱逃逸后影响超出原组件
  • 机密性/完整性/可用性影响：均为高（H），可能导致完全系统受损

综合 CVSS 评分为 9.6（严重），但由于需要先攻陷渲染器进程，实际利用难度较高，因此 Chromium 将其评为低危。用户应尽快升级至 Chrome 151.0.7922.72 或更高版本以修复此漏洞。

🔍 技术细节

字段 值
CVE ID CVE-2026-18002
CVSS 评分 9.6 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CWE 分类 CWE-20
发布时间 2026-07-30
最后更新 2026-07-30
状态 Undergoing Analysis
数据来源 chrome-cve-admin@google.com

🔗 参考链接