安全公告：CVE-2026-96432 - QNetworkAccessManager 空指针解引用漏洞影响 Qt
内容提要
Qt Network模块的QNetworkAccessManager存在空指针解引用漏洞（CVE-2026-96432），影响Qt 6.8.0–6.8.9及6.9.0–6.11.2。恶意或受损服务器可触发该漏洞，导致应用崩溃，CVSS 4.0评分为2.1（低危）。缓解措施为禁用HTTP/2；修复方式是应用补丁或升级至Qt 6.8.10、6.11.3或更高版本。
延伸解读
漏洞影响范围与版本确认
公告明确列出受影响版本为 Qt 6.8.0 至 6.8.9 以及 6.9.0 至 6.11.2。使用这些版本且启用了 Qt Network 模块中 QNetworkAccessManager 的应用需重点排查。由于漏洞位于网络访问核心类，任何通过该类发起 HTTP 请求的功能都可能暴露在风险中，建议开发者首先核对项目实际依赖的 Qt 版本。
实际风险：低危但可致崩溃
CVSS 4.0 评分为 2.1，属于低危，但攻击向量为网络（AV:N），且无需权限（PR:N）即可由恶意或受损服务器触发。成功利用仅影响可用性（VA:H），导致应用崩溃，不涉及数据泄露或篡改。对于需要高稳定性的客户端应用，即使低危漏洞也可能被用于拒绝服务，不应完全忽视。
临时缓解与根本修复
若无法立即升级，可通过 QNetworkRequest::setAttribute(QNetworkRequest::Http2AllowedAttribute, false) 禁用 HTTP/2 来缓解。根本解决方式是应用官方补丁或升级至 Qt 6.8.10、6.11.3 或更高版本。公告提供了针对 Qt 6.11 和 6.8 分支的补丁链接，便于自行编译修复。建议优先采用升级方案，避免长期依赖临时规避措施。
Q&A
CVE-2026-96432 影响哪些 Qt 版本？
影响 Qt 6.8.0 至 6.8.9 以及 Qt 6.9.0 至 6.11.2 版本。
这个漏洞会导致什么后果？
恶意或受损服务器可触发该漏洞，导致使用 QNetworkAccessManager 的应用程序崩溃，影响可用性。
CVE-2026-96432 的严重程度如何？
CVSS 4.0 评分为 2.1，属于低危漏洞。
如何临时缓解 CVE-2026-96432 漏洞？
可以通过 QNetworkRequest::setAttribute(QNetworkRequest::Http2AllowedAttribute, false) 禁用 HTTP/2 来缓解。
修复 CVE-2026-96432 应该升级到哪个 Qt 版本？
应升级到 Qt 6.8.10、Qt 6.11.3 或更高版本。
CVE-2026-96432 的补丁在哪里可以下载？
Qt 6.11 补丁：https://codereview.qt-project.org/c/qt/qtbase/+/768246 或 https://download.qt.io/official_releases/qt/6.11/CVE-2026-96432-qtbase-6.11.diff；Qt 6.8 补丁：https://codereview.qt-project.org/c/qt/tqtc-qtbase/+/774283 或 https://download.qt.io/archive/qt/6.8/CVE-2026-96432-qtbase-6.8.diff。
