🟠 《高危安全漏洞：CVE-2026-17685》

CVSS 评分: 高危（8.8）　　状态: Undergoing Analysis　　发布时间: 2026-07-30

漏洞简介

CVE-2026-17685 是一个存在于 Google Chrome 浏览器中的高危漏洞，属于 释放后使用（Use After Free，CWE-416） 类型。该漏洞位于 Chrome 的 自动填充（Autofill） 组件中。

具体来说，当用户访问一个特制的 HTML 页面时，远程攻击者可以利用该漏洞触发对已释放内存的访问（Use After Free）。由于浏览器在处理自动填充功能时未能正确管理内存生命周期，攻击者可以通过精心构造的页面诱导浏览器执行任意代码。尽管 Chrome 的沙箱（sandbox）机制会限制攻击者直接访问系统资源，但该漏洞允许攻击者在沙箱内部执行任意代码，从而可能进一步结合其他漏洞绕过沙箱限制。

该漏洞由 Chromium 安全团队评定为 高危（High） 严重性。

影响范围

  • 受影响软件：Google Chrome 浏览器（桌面版）
  • 受影响版本：早于 151.0.7922.72 的所有版本
  • 修复版本：Google Chrome 151.0.7922.72 及更高版本（于 2026 年 7 月发布）

风险分析

  • 攻击向量：远程攻击，无需用户交互（仅需用户访问恶意网页）
  • 攻击复杂度：低（攻击者只需构造一个特制的 HTML 页面）
  • 权限要求：无（无需任何用户权限）
  • 用户交互：需要用户点击或浏览攻击者提供的恶意链接/网页
  • 影响范围：机密性（Confidentiality）、完整性（Integrity）、可用性（Availability）均可能受到严重影响（CVSS 评分为 9.8，属于严重级别）

可能的攻击后果：

  1. 沙箱内代码执行：攻击者可以在 Chrome 沙箱内执行任意代码，窃取浏览器中存储的敏感信息（如密码、Cookie、表单数据等）。
  2. 沙箱逃逸风险：虽然该漏洞本身仅在沙箱内生效，但结合其他沙箱逃逸漏洞（如内核或 GPU 驱动漏洞），攻击者可能完全控制用户系统。
  3. 数据泄露：自动填充功能通常存储用户的姓名、地址、信用卡信息等，攻击者可能通过该漏洞窃取这些数据。
  4. 中间人攻击：攻击者可能利用该漏洞修改网页内容或注入恶意脚本，进一步实施钓鱼或恶意软件分发。

建议：用户应立即将 Google Chrome 更新至 151.0.7922.72 或更高版本，以避免受到该漏洞的攻击。

🔍 技术细节

字段 值
CVE ID CVE-2026-17685
CVSS 评分 8.8 🟠
严重程度 高危
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE 分类 CWE-416
发布时间 2026-07-30
最后更新 2026-07-30
状态 Undergoing Analysis
数据来源 chrome-cve-admin@google.com

🔗 参考链接