🟠 《高危安全漏洞：CVE-2026-17920》

CVSS 评分: 高危（8.8）　　状态: Received　　发布时间: 2026-07-30

漏洞简介

CVE-2026-17920 是一个存在于 Google Chrome 浏览器 V8 引擎中的 释放后使用（Use after free，CWE-416） 漏洞。该漏洞源于 V8 引擎在处理特定对象生命周期时，未能正确管理内存引用，导致在对象被释放后仍可被访问。

攻击者可以通过诱使用户安装一个精心构造的恶意 Chrome 扩展程序（Chrome Extension），利用该漏洞在浏览器的沙箱（sandbox）内部执行任意代码（arbitrary code）。尽管 Chromium 官方将该漏洞的严重性评级为“低危（Low）”，但结合沙箱逃逸或其他漏洞链时，仍可能造成较大危害。

影响范围

  • 受影响产品：Google Chrome（桌面版）
  • 受影响版本：早于 151.0.7922.72 的所有版本
  • 修复版本：Google Chrome 151.0.7922.72 及更高版本（于 2026 年 7 月发布的安全更新中修复）

风险分析

  1. 攻击前提：攻击者需要成功诱骗用户安装并启用一个恶意 Chrome 扩展程序。这通常通过社会工程学（如伪装成正常扩展、钓鱼邮件、恶意网站诱导安装）实现。
  2. 攻击后果：
    • 沙箱内代码执行：攻击者可在 Chrome 沙箱（sandbox）内执行任意代码。沙箱是 Chrome 用于隔离扩展和网页进程的安全机制，但该漏洞允许攻击者突破扩展本身的权限限制，在沙箱进程内获得代码执行能力。
    • 潜在危害：虽然漏洞本身被限制在沙箱内，但结合其他沙箱逃逸漏洞（sandbox escape）或系统级漏洞，攻击者可能进一步获取用户敏感数据（如密码、Cookie、浏览历史）、安装恶意软件、监控用户行为，甚至完全控制受影响的系统。
  3. 漏洞利用难度：由于需要用户主动安装恶意扩展，且漏洞评级为低危，实际利用门槛较高。但一旦成功安装，攻击者无需额外用户交互即可触发漏洞。
  4. 修复建议：用户应立即将 Google Chrome 浏览器更新至 151.0.7922.72 或更高版本，并避免安装来源不明的 Chrome 扩展程序。企业用户应通过组策略或管理工具强制推送安全更新。

🔍 技术细节

字段 值
CVE ID CVE-2026-17920
CVSS 评分 8.8 🟠
严重程度 高危
CVSS 向量 CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE 分类 CWE-416
发布时间 2026-07-30
最后更新 2026-07-30
状态 Received
数据来源 chrome-cve-admin@google.com

🔗 参考链接