🟠 《高危安全漏洞：CVE-2026-17884》

CVSS 评分: 高危（8.8）　　状态: Received　　发布时间: 2026-07-30

漏洞简介

CVE-2026-17884 是一个存在于 Google Chrome 浏览器中的安全漏洞，其根本原因属于 对象生命周期问题（Object lifecycle issue），对应 CWE-416（Use-After-Free，释放后使用）。该漏洞位于 Chrome 的 WebRTC 组件中。

攻击者可以通过构造一个恶意的 HTML 页面，诱使受害者访问，从而触发该漏洞。由于 WebRTC 在处理特定对象时未能正确处理其生命周期，导致在对象被释放后仍然被引用（Use-After-Free），进而可能引发 堆损坏（heap corruption）。远程攻击者可以利用此漏洞在受害者浏览器进程中执行任意代码或导致浏览器崩溃。

根据 Chromium 的安全评级，该漏洞的严重性被标记为 中等（Medium）。

影响范围

  • 受影响软件：Google Chrome 浏览器（桌面版）
  • 受影响版本：早于 151.0.7922.72 的所有版本
  • 修复版本：Google Chrome 151.0.7922.72 及更高版本

风险分析

  • 攻击向量：远程攻击（AV:N），攻击者无需物理接触目标设备。
  • 攻击复杂度：低（AC:L），攻击者只需构造一个特制的 HTML 页面并诱导用户访问（例如通过钓鱼邮件、恶意广告或植入被攻陷的网站）。
  • 所需权限：无需任何用户权限（PR:N）。
  • 用户交互：需要用户交互（UI:R），即用户必须点击或访问攻击者提供的恶意页面。
  • 影响范围：不改变（S:U），漏洞仅影响浏览器自身进程，不直接突破沙箱环境，但结合其他漏洞可能实现沙箱逃逸。
  • 机密性影响：高（C:H），成功利用可能导致攻击者读取浏览器内存中的敏感信息（如密码、Cookie、会话令牌等）。
  • 完整性影响：高（I:H），攻击者可能修改浏览器内存数据或注入恶意代码。
  • 可用性影响：高（A:H），可能导致浏览器崩溃或拒绝服务，甚至实现远程代码执行。

可能的攻击后果：

  • 远程代码执行（RCE）：攻击者可在受害者浏览器进程中执行任意代码，进而控制用户系统。
  • 信息泄露：窃取浏览器存储的凭据、浏览历史、表单数据等敏感信息。
  • 浏览器崩溃：导致浏览器无响应或意外退出，影响正常使用。

建议：用户应立即将 Google Chrome 浏览器更新至 151.0.7922.72 或更高版本，以修复此漏洞。

🔍 技术细节

字段 值
CVE ID CVE-2026-17884
CVSS 评分 8.8 🟠
严重程度 高危
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE 分类 CWE-416
发布时间 2026-07-30
最后更新 2026-07-30
状态 Received
数据来源 chrome-cve-admin@google.com

🔗 参考链接