安全公告：CVE-2026-110944：HTTP请求处理中的资源耗尽漏洞影响Qt HTTP Server（QHttpServer）
内容提要
Qt HTTP Server的QHttpServer组件存在资源耗尽漏洞（CVE-2026-110944），影响Qt 6.4.0至6.11.2及6.12.0版本。远程未认证攻击者可导致应用内存过度消耗，造成拒绝服务，CVSS 4.0评分为2.7（低危）。目前无缓解措施，建议升级至Qt 6.11.3、6.12.1或更高版本，或应用官方补丁。
延伸解读
漏洞影响范围与版本确认
公告明确列出受影响版本为 Qt 6.4.0 至 6.11.2 以及 6.12.0。使用 QHttpServer 组件的应用需核对自身 Qt 版本是否落在此区间。由于漏洞位于 HTTP 请求处理环节，任何对外提供 HTTP 服务的 QHttpServer 实例都可能成为攻击目标，建议优先排查暴露于网络的部署。
低危评分不等于可忽视
CVSS 4.0 评分为 2.7（低危），向量显示攻击者无需认证即可远程触发，但仅影响可用性（VA:L），不涉及机密性或完整性。这意味着单次攻击造成的危害有限，但资源耗尽型漏洞可能被反复利用，对长期运行的服务仍构成稳定性风险，运维团队应结合暴露面评估修复优先级。
修复路径与临时应对
公告指出当前没有缓解措施，唯一解决方案是升级至 Qt 6.11.3、6.12.1 或更高版本，或应用官方补丁。补丁链接包含开发分支和 Qt 6.12 的代码审查地址及 diff 文件。若无法立即升级，可考虑限制 QHttpServer 的对外暴露范围或增加资源监控，但这些并非官方缓解措施，需自行评估效果。
Q&A
CVE-2026-110944 影响哪些 Qt 版本？
影响 Qt 6.4.0 至 6.11.2 以及 Qt 6.12.0 版本。
这个漏洞会导致什么后果？
远程未认证攻击者可导致使用 QHttpServer 的应用程序消耗过多内存，造成拒绝服务（可用性影响）。
CVE-2026-110944 的 CVSS 评分是多少？
CVSS 4.0 评分为 2.7，属于低危漏洞。
目前有没有缓解措施？
目前没有可用的缓解措施。
如何修复这个漏洞？
升级到 Qt 6.11.3 或 Qt 6.12.1 或更高版本，或者应用官方提供的补丁。
补丁在哪里可以下载？
补丁链接包括：Dev 分支的 https://codereview.qt-project.org/c/qt/qthttpserver/+/768560 和 https://codereview.qt-project.org/c/qt/qthttpserver/+/768934；Qt 6.12 的 https://codereview.qt-project.org/c/qt/qthttpserver/+/772619 和 https://codereview.qt-project.org/c/qt/qthttpserver/+/772752，或下载 diff 文件：https://download.qt.io/official_releases/qt/6.12/CVE-2026-110944-qthttpserver-6.12-0001.diff 和 https://download.qt.io/official_releases/qt/6.12/CVE-2026-110944-qthttpserver-6.12-0002.diff。
