🟠 《高危安全漏洞：CVE-2026-17778》

CVSS 评分: 高危（8.8）　　状态: Received　　发布时间: 2026-07-30

漏洞简介

CVE-2026-17778 是一个存在于 Google Chrome 浏览器中的 释放后使用（Use after free，CWE-416） 漏洞，影响 Chrome 的扩展程序（Extensions）组件。该漏洞允许远程攻击者通过精心构造的 Chrome 扩展程序，在沙盒（sandbox）内部执行任意代码。

具体来说，当 Chrome 在处理扩展程序时，由于对已释放内存对象的错误引用，攻击者可以利用这一缺陷绕过浏览器的安全限制，在沙盒环境中执行恶意代码。由于该漏洞被归类为 Chromium 安全严重性中的“中等（Medium）”级别，表明其利用难度和潜在影响处于中等水平，但仍需引起重视。

影响范围

  • 受影响软件：Google Chrome 浏览器（桌面版）
  • 受影响版本：早于 151.0.7922.72 的所有版本
  • 修复版本：Chrome 151.0.7922.72 及更高版本
  • 攻击前提：攻击者需要诱使用户安装或加载一个恶意的 Chrome 扩展程序（Chrome Extension），并触发该漏洞。

风险分析

  • 攻击向量：远程攻击，无需用户交互（但需要用户安装恶意扩展程序）。
  • 攻击复杂度：低（Low），攻击者只需构造一个特制的扩展程序即可。
  • 权限要求：无（None），攻击者无需提前获得系统权限。
  • 用户交互：需要（Required），用户必须手动安装或允许加载该恶意扩展程序。
  • 影响范围：不改变（Unchanged），漏洞利用局限于沙盒内部，但沙盒内可造成完全破坏。
  • 潜在后果：
    • 机密性（Confidentiality）：高（High），攻击者可能读取沙盒内的敏感数据，如扩展程序存储的凭证、浏览历史等。
    • 完整性（Integrity）：高（High），攻击者可能修改沙盒内的数据或扩展程序行为。
    • 可用性（Availability）：高（High），攻击者可能导致浏览器扩展崩溃或执行恶意操作。

总结：该漏洞允许攻击者通过恶意扩展程序在 Chrome 沙盒内执行任意代码，虽然需要用户交互（安装扩展），但一旦成功，攻击者可以完全控制沙盒环境，进而窃取数据、篡改功能或发起进一步攻击。建议用户立即更新 Chrome 至 151.0.7922.72 或更高版本，并避免安装来源不明的扩展程序。

🔍 技术细节

字段 值
CVE ID CVE-2026-17778
CVSS 评分 8.8 🟠
严重程度 高危
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE 分类 CWE-416
发布时间 2026-07-30
最后更新 2026-07-30
状态 Received
数据来源 chrome-cve-admin@google.com

🔗 参考链接