安全公告：FFmpeg 媒体后端中的 CVE-2026-8461 内存破坏漏洞影响 Qt 多媒体模块
内容提要
Qt多媒体模块因捆绑的FFmpeg库存在CVE-2026-8461内存破坏漏洞而受影响。仅二进制发行版直接受影响，源码构建者若链接未修复的FFmpeg同样受影响。受影响版本为Qt 6.8.0至6.8.8、6.9.0至6.11.1。处理特制媒体文件可致崩溃甚至任意代码执行，CVSS评分8.8。建议升级至Qt 6.8.9或6.11.2，或改用FFmpeg 7.1.5重建，并避免处理不可信媒体文件。
延伸解读
影响范围：二进制包与源码构建的差异
公告明确指出，只有Qt二进制发行版因捆绑FFmpeg库而直接受影响。从源码构建Qt的用户，如果链接了未修复的FFmpeg版本，同样会受影响。受影响版本为Qt 6.8.0至6.8.8、6.9.0至6.11.1，而Qt 6.8.0之前的状态未知。这意味着使用官方二进制包或自行链接旧版FFmpeg的开发者都需检查自己的环境。
风险等级：CVSS 8.8但实际利用性未定
上游FFmpeg漏洞的CVSS评分为8.8（高危），向量显示攻击需用户交互（UI:R），但可导致机密性、完整性和可用性高影响。公告特别说明，在Qt多媒体模块中的可利用性尚未确定，因此建议用户按最坏情况假设。这意味着虽然实际攻击可能受限于Qt的调用方式，但不应低估潜在风险。
缓解措施：不升级Qt也能修复
如果暂时无法升级Qt，公告提供了一种独立缓解方案：使用FFmpeg 7.1.5（包含上游安全修复）重新构建应用程序所使用的FFmpeg库，并随应用重新部署。这样无需更改Qt版本即可消除漏洞。在完成修复前，应避免播放或处理来自不可信来源的媒体文件，以降低触发内存破坏的风险。
Q&A
CVE-2026-8461 漏洞影响哪些 Qt 版本？
受影响版本为 Qt 6.8.0 至 6.8.8，以及 Qt 6.9.0 至 6.11.1。Qt 6.8.0 之前的版本受影响状态未知。
这个漏洞是如何影响 Qt 多媒体模块的？
Qt 多媒体模块捆绑了存在漏洞的 FFmpeg 库，其 FFmpeg 媒体后端使用了该库。处理特制媒体文件时，可能通过 FFmpeg 后端触发内存破坏，导致应用程序崩溃，甚至允许任意代码执行。
CVE-2026-8461 的严重程度如何？
上游 CVSS 3.1 评分为 8.8，属于高危（HIGH）。攻击向量为网络（AV:N），攻击复杂度低（AC:L），无需权限（PR:N），需要用户交互（UI:R），机密性、完整性和可用性影响均为高（C:H/I:H/A:H）。
如果暂时无法升级 Qt，有什么临时缓解措施？
可以使用 FFmpeg 7.1.5（包含上游安全修复）重新构建应用程序所使用的 FFmpeg 库，并随应用重新部署，无需更改 Qt 版本。在此之前，应避免播放或处理来自不可信来源的媒体文件。
如何彻底修复 CVE-2026-8461 漏洞？
升级到 Qt 6.8.9 或 Qt 6.11.2 或更高版本，这两个版本都包含了捆绑的 FFmpeg 7.1.5，已修复该漏洞。
从源码构建 Qt 的用户是否受此漏洞影响？
从源码构建 Qt 的用户如果链接了未包含上游修复的 FFmpeg 版本，也会受到影响。只有 Qt 二进制发行版直接受影响，因为它捆绑了存在漏洞的 FFmpeg 库。
