🔴 《严重安全漏洞：CVE-2026-17721》

CVSS 评分: 严重（9.6）　　状态: Received　　发布时间: 2026-07-30

漏洞简介

CVE-2026-17721 是一个存在于 Google Chrome 浏览器中的高危安全漏洞，具体位于 ANGLE（Almost Native Graphics Layer Engine）组件中。该漏洞属于 越界写入（Out of bounds write），对应 CWE-787 分类。攻击者可以通过构造恶意的 HTML 页面，利用该漏洞在受影响的系统上实现 沙盒逃逸（sandbox escape），从而突破浏览器的安全隔离机制，获得对底层操作系统的更高权限。

该漏洞由 Chromium 安全团队发现并报告，官方将其严重性评级为 高（High）。漏洞的 CVSS 3.1 评分为 9.6（向量：AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H），表明其攻击复杂度低，无需特权，仅需用户交互（如点击链接或访问恶意页面），且可能对机密性、完整性和可用性造成严重影响。

影响范围

  • 受影响软件：Google Chrome 浏览器（桌面版）
  • 受影响版本：早于 151.0.7922.72 的所有版本
  • 修复版本：Chrome 151.0.7922.72 及更高版本（于 2026 年 7 月发布）
  • 其他受影响软件：任何基于 Chromium 内核的浏览器（如 Microsoft Edge、Brave、Opera 等）如果使用了受影响版本的 ANGLE 组件，也可能受到影响。

风险分析

  • 攻击方式：远程攻击者通过诱使用户访问一个精心设计的 HTML 页面（例如通过钓鱼链接、恶意广告或嵌入在第三方网站中），即可触发漏洞。攻击过程无需用户执行额外操作（如下载文件或点击特定按钮），仅需页面加载即可完成。
  • 攻击后果：
    • 沙盒逃逸（Sandbox Escape）：Chrome 的沙盒机制旨在隔离网页进程与操作系统，防止恶意代码直接访问系统资源。成功利用此漏洞后，攻击者可以突破沙盒限制，在用户系统上执行任意代码。
    • 完全系统控制：由于 CVSS 评分中机密性、完整性和可用性均为“高”，攻击者可能窃取敏感数据（如密码、文件）、安装恶意软件、修改系统设置或导致系统崩溃。
    • 横向移动风险：在企业环境中，成功逃逸的沙盒可能成为攻击者进一步渗透内部网络的跳板。
  • 利用条件：攻击者需要诱使用户访问恶意页面（用户交互），但无需其他特殊权限或网络条件。由于攻击复杂度低，且 Chrome 用户基数庞大，该漏洞可能被广泛用于针对性攻击或大规模恶意活动。
  • 缓解措施：用户应立即更新 Chrome 至 151.0.7922.72 或更高版本。对于无法立即更新的环境，建议禁用 JavaScript 或使用内容安全策略（CSP）限制第三方脚本加载，但此类临时措施可能影响正常浏览体验。

🔍 技术细节

字段 值
CVE ID CVE-2026-17721
CVSS 评分 9.6 🔴
严重程度 严重
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CWE 分类 CWE-787
发布时间 2026-07-30
最后更新 2026-07-30
状态 Received
数据来源 chrome-cve-admin@google.com

🔗 参考链接