🟠 《高危安全漏洞：CVE-2026-17699》

CVSS 评分: 高危（8.6）　　状态: Undergoing Analysis　　发布时间: 2026-07-30

漏洞简介

该漏洞编号为 CVE-2026-17699，属于 释放后使用（Use after free，CWE-416） 类型的安全缺陷。漏洞存在于 Google Chrome 浏览器的 Views 组件中，影响版本为 151.0.7922.72 之前 的 Chrome 桌面版。

攻击者可以通过诱使用户打开一个 恶意文件，利用该漏洞在浏览器进程中触发对已释放内存的非法访问。由于 Views 组件负责处理浏览器界面元素（如对话框、菜单、窗口等），该漏洞可被用于绕过 Chrome 的沙箱（sandbox）机制，实现 沙箱逃逸（sandbox escape），从而在用户系统上执行任意代码。

根据 Chromium 官方安全评级，该漏洞的严重性为 高（High）。

影响范围

  • 受影响产品：Google Chrome（桌面版）
  • 受影响版本：所有 早于 151.0.7922.72 的版本
  • 修复版本：151.0.7922.72 及更高版本
  • 攻击前提：需要用户交互（如打开恶意文件），但无需额外权限（PR:N）
  • 攻击向量：本地攻击（AV:L），但可通过网络传播恶意文件

风险分析

  • CVSS 评分：CVSS:3.1 向量为 AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H，基础评分 8.8（高危）

    • 攻击复杂度低（AC:L），无需权限（PR:N）
    • 需要用户交互（UI:R），但攻击者可通过社会工程诱导用户打开文件
    • 影响范围发生变化（S:C），即漏洞可突破沙箱限制
    • 对机密性、完整性、可用性均造成 高影响（C:H/I:H/A:H）

  • 攻击后果：

    1. 沙箱逃逸：攻击者能够从受限的浏览器沙箱环境逃逸到宿主操作系统，获得与当前用户相同的系统权限。
    2. 任意代码执行：成功利用后，攻击者可以在用户设备上执行任意恶意代码，包括安装恶意软件、窃取敏感数据、篡改系统设置等。
    3. 持久化与横向移动：若用户拥有管理员权限，攻击者可能进一步获得系统级控制权，并利用受感染设备作为跳板攻击内网其他主机。

  • 缓解措施：

    • 立即升级 Chrome 至 151.0.7922.72 或更高版本
    • 避免打开来源不明的文件，尤其是通过浏览器直接下载或打开的可疑文件
    • 启用 Chrome 的自动更新功能，确保及时获取安全补丁

🔍 技术细节

字段 值
CVE ID CVE-2026-17699
CVSS 评分 8.6 🟠
严重程度 高危
CVSS 向量 CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CWE 分类 CWE-416
发布时间 2026-07-30
最后更新 2026-07-30
状态 Undergoing Analysis
数据来源 chrome-cve-admin@google.com

🔗 参考链接