安全公告：CVE-2026-107457 QMqttClient内存破坏漏洞影响Qt MQTT
内容提要
Qt MQTT模块的QMqttClient类存在内存破坏漏洞CVE-2026-107457，影响Qt 5.12.0至6.8.8及6.9.0至6.11.2版本。在特定MQTT 5连接设置下可能损坏内存并导致应用崩溃，CVSS 4.0评分为2.3（低危）。目前无缓解措施，建议应用补丁或升级至Qt 6.8.9、6.11.3、6.12.0或更高版本。
延伸解读
低危评分不等于可忽略
CVSS 4.0 评分为 2.3（低危），但向量显示攻击者无需权限即可远程触发，且可用性影响为高（VA:H），成功利用会导致应用崩溃。低分主要源于攻击前提较多（AT:P）和用户交互要求（UI:P），并非漏洞本身无害。对于依赖 MQTT 长连接的服务，崩溃可能造成业务中断，仍应视为需要修复的缺陷。
影响范围覆盖多个大版本
受影响版本从 Qt 5.12.0 一直延伸到 Qt 6.8.8，以及 6.9.0 至 6.11.2。这意味着不少仍在维护的 LTS 或旧项目都可能中招。升级前需确认目标版本是否在修复列表内：Qt 6.8.9、6.11.3、6.12.0 或更高版本已包含修复。若无法立即升级，可参考公告提供的补丁链接手动应用。
触发条件与 MQTT 5 连接设置相关
公告指出漏洞在客户端与服务器之间“特定的 MQTT 5 连接设置”下触发，但未列出具体参数组合。因此，使用 MQTT 5 协议且与外部或不可信 broker 通信的应用风险相对更高。开发团队可优先排查此类连接场景，并在测试环境中验证升级后的兼容性，避免因协议行为差异引入新问题。
Q&A
CVE-2026-107457 影响哪些 Qt 版本？
影响 Qt 5.12.0 至 6.8.8，以及 Qt 6.9.0 至 6.11.2。
这个漏洞会导致什么后果？
在特定的 MQTT 5 连接设置下，QMqttClient 可能损坏内存，导致应用程序崩溃。
CVE-2026-107457 的 CVSS 评分是多少？危险吗？
CVSS 4.0 评分为 2.3，属于低危。
目前有办法缓解这个漏洞吗？
官方表示没有缓解措施，只能通过应用补丁或升级版本来解决。
如何修复 CVE-2026-107457？
应用官方补丁，或升级到 Qt 6.8.9、Qt 6.11.3、Qt 6.12.0 或更高版本。
在哪里可以下载修复这个漏洞的补丁？
补丁链接：dev 分支见 https://codereview.qt-project.org/c/qt/qtmqtt/+/762286；Qt 6.11 见 https://codereview.qt-project.org/c/qt/qtmqtt/+/765308 或 https://download.qt.io/official_releases/qt/6.11/CVE-2026-107457-qtmqtt-6.11.diff；Qt 6.8 见 https://codereview.qt-project.org/c/qt/tqtc-qtmqtt/+/765334 或 https://download.qt.io/archive/qt/6.8/CVE-2026-107457-qtmqtt-6.8.diff。
