🔴 《严重安全漏洞：CVE-2026-17670》

CVSS 评分: 严重（9.6）　　状态: Received　　发布时间: 2026-07-30

漏洞简介

CVE-2026-17670 是 Google Chrome 浏览器中的一个高危安全漏洞，属于 释放后使用（Use After Free，CWE-416） 类型。该漏洞存在于 Chrome 的 Views 组件中，影响版本为 151.0.7922.72 之前 的 Chrome 桌面版。

该漏洞的具体触发机制是：当攻击者通过某种方式（例如利用其他漏洞）已经攻破了 Chrome 的渲染器进程（renderer process）后，可以构造一个特制的 HTML 页面。当受害者使用受影响版本的 Chrome 浏览器访问该页面时，由于 Views 组件对已释放内存对象的错误引用，攻击者能够利用该漏洞实现 沙箱逃逸（sandbox escape），从而突破渲染器进程的安全限制，在浏览器主进程或系统层面执行任意代码。

根据 Chromium 官方安全评级，该漏洞的严重性为 高（High）。

影响范围

  • 受影响软件：Google Chrome（桌面版）
  • 受影响版本：所有 早于 151.0.7922.72 的版本
  • 修复版本：151.0.7922.72 及更高版本
  • CVSS 评分：CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H（基础分 9.6，属于 严重 级别）
    • 攻击向量：网络（Network）
    • 攻击复杂度：低（Low）
    • 所需权限：无（None）
    • 用户交互：需要（Required，用户需点击或访问恶意页面）
    • 影响范围：已变更（Changed，沙箱逃逸导致影响范围扩大）
    • 机密性/完整性/可用性影响：高（High）

风险分析

  1. 攻击前提：攻击者需要先通过其他手段（如另一个渲染器漏洞）攻破 Chrome 的渲染器进程。这意味着该漏洞通常被用作 漏洞链（exploit chain） 中的一环，而非独立利用。
  2. 攻击后果：
    • 沙箱逃逸：成功利用后，攻击者可以突破 Chrome 的沙箱保护机制，获得与浏览器主进程相同的系统权限。
    • 远程代码执行：攻击者可以在受害者系统上执行任意恶意代码，包括安装恶意软件、窃取敏感数据、控制系统等。
    • 完全控制：由于 CVSS 评分中机密性、完整性和可用性均为高（High），攻击者可能实现对受影响系统的完全控制。
  3. 利用难度：虽然攻击需要用户交互（如点击链接或访问恶意页面），但由于攻击复杂度低（Low）且无需额外权限，该漏洞在现实攻击中具有较高的可利用性。
  4. 修复建议：用户应立即将 Google Chrome 更新至 151.0.7922.72 或更高版本。企业用户应通过集中管理策略强制推送更新，并监控浏览器版本合规性。

🔍 技术细节

字段 值
CVE ID CVE-2026-17670
CVSS 评分 9.6 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CWE 分类 CWE-416
发布时间 2026-07-30
最后更新 2026-07-30
状态 Received
数据来源 chrome-cve-admin@google.com

🔗 参考链接