🟠 《高危安全漏洞：CVE-2026-17665》

CVSS 评分: 高危（8.8）　　状态: Received　　发布时间: 2026-07-30

漏洞简介

该漏洞编号为 CVE-2026-17665，属于 释放后使用（Use After Free，CWE-416） 类型的安全缺陷。漏洞存在于 Google Chrome 浏览器的 V8 JavaScript 引擎 中。当用户访问一个特制的 HTML 页面时，远程攻击者能够利用该漏洞触发对已释放内存的非法访问，从而在沙箱（sandbox）环境内部执行任意代码。

根据 Chromium 官方安全评级，该漏洞的严重性等级为 高（High）。CVSS 3.1 评分为 8.8（向量：AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H），表明攻击复杂度低，无需特权，仅需用户交互（点击链接或访问恶意页面），即可实现对机密性、完整性和可用性的高影响。

影响范围

  • 受影响软件：Google Chrome 浏览器
  • 受影响版本：早于 151.0.7922.72 的所有版本
  • 修复版本：Chrome 151.0.7922.72 及更高版本
  • 官方公告：Google 已于 2026 年 7 月发布稳定版更新修复该漏洞（参考：Chrome Releases Blog）

风险分析

  1. 攻击方式：攻击者需要诱使用户访问一个精心构造的 HTML 页面（例如通过钓鱼链接、恶意广告或嵌入在第三方网站中）。无需任何用户权限或额外认证即可触发漏洞。
  2. 利用后果：成功利用后，攻击者可以在 Chrome 沙箱（sandbox）内部执行任意代码。沙箱机制虽然限制了直接访问操作系统底层资源，但结合其他沙箱逃逸漏洞或系统级弱点，攻击者仍有可能进一步提升权限，窃取用户数据、安装恶意软件或进行其他破坏活动。
  3. 潜在影响：
    • 数据泄露：攻击者可能读取浏览器内存中的敏感信息（如密码、Cookie、表单数据）。
    • 远程控制：在沙箱内执行代码后，可进一步尝试逃逸沙箱，实现对用户系统的完全控制。
    • 横向移动：在企业环境中，被攻陷的浏览器可能成为攻击者进入内部网络的跳板。
  4. 缓解措施：用户应立即更新 Chrome 至 151.0.7922.72 或更高版本。对于无法立即更新的环境，建议禁用 JavaScript 或限制访问不可信网站，但此类措施会严重影响正常浏览体验，不推荐作为长期方案。

🔍 技术细节

字段 值
CVE ID CVE-2026-17665
CVSS 评分 8.8 🟠
严重程度 高危
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE 分类 CWE-416
发布时间 2026-07-30
最后更新 2026-07-30
状态 Received
数据来源 chrome-cve-admin@google.com

🔗 参考链接