安全公告 CVE-2026-114369：QWebSocket 和 QWebSocketServer 的 WebSocket 握手处理中的资源耗尽（拒绝服务）漏洞影响 Qt 框架
内容提要
Qt WebSockets模块的QWebSocket和QWebSocketServer类存在资源耗尽漏洞（CVE-2026-114369）。受影响版本为Qt 5.15.0至6.8.9及6.9.0至6.12.0，其中QWebSocketServer自5.15.0起受影响，QWebSocket自6.3.0起受影响。远程对端可导致应用CPU过度消耗，造成拒绝服务，CVSS 4.0评分2.7（低危）。目前无缓解措施，建议应用补丁或升级至Qt 6.8.10、6.12.1或更高版本。
延伸解读
影响范围需按类区分
公告明确区分了受影响类别的起始版本：QWebSocketServer 自 Qt 5.15.0 起受影响，而 QWebSocket 自 Qt 6.3.0 起受影响。因此，仅使用 QWebSocket 的项目在 6.3.0 之前版本不受此漏洞影响，但使用 QWebSocketServer 的项目从 5.15.0 起就需关注。版本区间为 5.15.0 至 6.8.9 以及 6.9.0 至 6.12.0，升级时需确认目标版本是否已修复。
低危评分不等于可忽略
CVSS 4.0 评分为 2.7（低危），向量显示攻击者无需权限或用户交互即可远程触发，但仅影响可用性（VA:L），不涉及机密性或完整性。这意味着攻击成本较低，可能被用于消耗服务端 CPU 资源。对于暴露在公网的 WebSocket 服务，即使低危也应评估升级优先级，避免因资源耗尽导致服务不可用。
修复方式与版本选择
公告指出目前没有缓解措施，唯一解决方案是应用补丁或升级至 Qt 6.8.10、6.12.1 或更高版本。补丁按开发分支和 6.12、6.11、6.8 等版本分别提供，也可下载对应 ZIP 包。若项目使用其他分支（如 6.9、6.10），需确认是否已有对应补丁或考虑升级到已修复的版本。升级前应测试兼容性。
Q&A
CVE-2026-114369 是什么漏洞？影响哪些 Qt 组件？
CVE-2026-114369 是 Qt 框架中 Qt WebSockets 模块的资源耗尽漏洞，影响 QWebSocket 和 QWebSocketServer 类。远程对端可导致应用 CPU 过度消耗，造成拒绝服务。
哪些 Qt 版本受 CVE-2026-114369 影响？
受影响版本为 Qt 5.15.0 至 6.8.9 以及 Qt 6.9.0 至 6.12.0。其中 QWebSocketServer 自 Qt 5.15.0 起受影响，QWebSocket 自 Qt 6.3.0 起受影响。Qt 5.15.0 之前的状态未知。
这个漏洞的严重程度如何？CVSS 评分是多少？
CVSS 4.0 评分为 2.7，属于低危漏洞。攻击向量为网络，无需权限或用户交互，但仅影响可用性（VA:L），不影响机密性和完整性。
CVE-2026-114369 有哪些缓解措施？
目前没有可用的缓解措施。建议应用官方补丁或升级到 Qt 6.8.10、6.12.1 或更高版本。
如何修复 CVE-2026-114369 漏洞？
可以应用 Qt 官方提供的补丁（针对 dev、6.12、6.11、6.8 分支），或直接升级到 Qt 6.8.10、6.12.1 或更高版本。补丁链接和下载地址见公告。
攻击者如何利用这个漏洞？会造成什么后果？
远程对端可以通过 WebSocket 握手处理导致应用 CPU 过度消耗，从而造成拒绝服务，使应用无法正常响应。
