🟠 《高危安全漏洞：CVE-2026-17694》

CVSS 评分: 高危（8.8）　　状态: Undergoing Analysis　　发布时间: 2026-07-30

漏洞简介

该漏洞编号为 CVE-2026-17694，属于 释放后使用（Use After Free，CWE-416） 类型的安全缺陷。漏洞存在于 Google Chrome 浏览器的 DOM（文档对象模型） 组件中。在 Chrome 版本 151.0.7922.72 之前，当用户访问一个特制的 HTML 页面时，远程攻击者可以利用该漏洞在沙盒（sandbox）内部执行任意代码。

该漏洞的 CVSS 3.1 评分为 9.8（严重），攻击向量为网络（AV:N），攻击复杂度低（AC:L），无需权限（PR:N），但需要用户交互（UI:R，即用户点击或访问恶意页面）。漏洞利用可能对机密性、完整性和可用性均造成高影响（C:H/I:H/A:H）。

影响范围

  • 受影响软件：Google Chrome 浏览器
  • 受影响版本：所有 低于 151.0.7922.72 的版本
  • 修复版本：Chrome 151.0.7922.72 及更高版本
  • 相关平台：桌面版 Chrome（Windows、macOS、Linux）

风险分析

  1. 攻击方式：攻击者通过构造一个恶意的 HTML 页面，诱使用户在受影响的 Chrome 浏览器中访问该页面。由于漏洞存在于 DOM 处理逻辑中，浏览器在解析或操作 DOM 元素时，错误地访问了已经被释放的内存对象，导致程序行为不可预测。

  2. 攻击后果：

    • 任意代码执行：攻击者可以在浏览器的沙盒（sandbox）进程内执行任意代码。虽然沙盒机制限制了直接访问操作系统内核或用户文件，但攻击者仍可能结合其他漏洞（如沙盒逃逸漏洞）实现完全控制用户系统。
    • 数据泄露：攻击者可能读取浏览器内存中的敏感信息，例如密码、Cookie、浏览历史等。
    • 浏览器崩溃：利用失败或部分利用可能导致浏览器崩溃，造成拒绝服务（Denial of Service）。

  3. 严重性：Google 官方将该漏洞评为 High（高） 严重性。考虑到 CVSS 评分高达 9.8，且无需用户权限即可远程触发，该漏洞属于 高危漏洞，建议用户立即更新 Chrome 浏览器至最新版本。

注意：该漏洞仅影响 Chrome 浏览器本身，不涉及操作系统或其他软件。用户应通过 Chrome 设置中的“关于 Chrome”功能检查并安装更新。

🔍 技术细节

字段 值
CVE ID CVE-2026-17694
CVSS 评分 8.8 🟠
严重程度 高危
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE 分类 CWE-416
发布时间 2026-07-30
最后更新 2026-07-30
状态 Undergoing Analysis
数据来源 chrome-cve-admin@google.com

🔗 参考链接