安全公告：CVE-2026-95620 QNetworkAccessManager HTTP/2 支持中的释放后使用漏洞影响 Qt
内容提要
Qt网络模块HTTP/2客户端存在释放后使用漏洞（CVE-2026-95620），影响Qt 6.9.0至6.11.2。恶意HTTP/2服务器可导致客户端崩溃，CVSS评分2.1，属低危漏洞。缓解措施为禁用HTTP/2；修复方案为应用补丁或升级至Qt 6.11.3或6.12.0及以上版本。
延伸解读
漏洞影响范围与触发条件
该漏洞影响 Qt 6.9.0 至 6.11.2 版本的 QNetworkAccessManager HTTP/2 客户端支持。攻击者需控制或入侵 HTTP/2 服务器，并诱导客户端发起连接，才可能触发释放后使用，导致客户端崩溃。CVSS 4.0 评分为 2.1（低危），攻击复杂度高且需要用户交互，因此实际风险较低，但使用受影响版本且连接不可信服务器的应用仍需关注。
临时缓解与修复方案
若无法立即升级，可通过 QNetworkRequest::setAttribute(QNetworkRequest::Http2AllowedAttribute, false) 对受影响请求禁用 HTTP/2，从而规避漏洞。根本修复需应用官方补丁或升级至 Qt 6.11.3、6.12.0 或更高版本。补丁链接已提供，建议优先采用升级方案，因为禁用 HTTP/2 可能影响依赖该协议的性能或功能。
风险评估与处置建议
尽管 CVSS 评分仅为 2.1，但漏洞影响可用性，且利用需恶意服务器配合。对于面向公众、会连接外部 HTTP/2 服务的 Qt 客户端，建议尽快排查版本并制定升级计划；内部可控环境可评估后决定是否临时禁用 HTTP/2。注意，禁用 HTTP/2 仅作为缓解措施，不应替代最终补丁。
Q&A
CVE-2026-95620 是什么漏洞？影响哪些 Qt 版本？
CVE-2026-95620 是 Qt 网络模块中 QNetworkAccessManager 的 HTTP/2 客户端支持存在的释放后使用（use-after-free）漏洞。受影响的版本为 Qt 6.9.0 至 6.11.2。
这个漏洞的严重程度如何？CVSS 评分是多少？
该漏洞的 CVSS 4.0 评分为 2.1，属于低危（Low）级别。
攻击者如何利用 CVE-2026-95620？会造成什么后果？
恶意或受控的 HTTP/2 服务器可能利用该漏洞导致客户端应用程序崩溃，从而影响可用性。
如何临时缓解 CVE-2026-95620 漏洞？
可以通过 QNetworkRequest::setAttribute(QNetworkRequest::Http2AllowedAttribute, false) 对受影响的请求禁用 HTTP/2 来缓解。
CVE-2026-95620 的修复方案是什么？应该升级到哪个版本？
应应用官方补丁，或升级到 Qt 6.11.3 或 Qt 6.12.0 及以上版本。
在哪里可以下载 CVE-2026-95620 的补丁？
补丁链接包括：dev 分支的 https://codereview.qt-project.org/c/qt/qtbase/+/759717，Qt 6.11 的 https://codereview.qt-project.org/c/qt/qtbase/+/768245 或 https://download.qt.io/official_releases/qt/6.11/CVE-2026-95620-qtbase-6.11.diff。
