你有没有想过平时随手双击打开的一张图片、一个看起来再普通不过的播放列表可能会成为别人撬开你电脑内存的钥匙2026年9月9日安全研究人员公开披露了VLC媒体播放器中的两个安全漏洞编号分别为CVE-2026-56711和CVE-2026-73324。这两个漏洞影响范围极广覆盖从3.0.0到3.0.23的全部版本——换句话说绝大多数正在使用VLC的用户电脑里很可能就埋着这两颗定时炸弹。更让人揪心的是截至本文发布时VideoLAN官方尚未推出针对性的修复版本。攻击者只需要诱导受害者打开一个精心构造的媒体文件或播放列表条目就能破坏堆内存甚至直接从内存中窃取敏感数据。这两个漏洞均由Hap Security公司的研究员Fabian Wahle发现其中CVE-2026-56711被评为高危CVSS评分高达8.6CVE-2026-73324为中等 severity评分6.9。CVE-2026-56711藏在图片尺寸里的整数溢出陷阱先来说说危害性更大的那个。CVE-2026-56711是一个整数溢出叠加越界写入的漏洞涉及CWE-190整数溢出或回绕和CWE-787越界写入两类经典问题。问题的根源出在VLC源码src/misc/picture.c文件的AllocatePicture函数中。VLC在计算解码图像平面所需的总缓冲区大小时是把i_pitch和i_lines两个值相乘后相加得到的。这两个字段在include/vlc_picture.h中被定义为有符号整数。关键在于这个乘法运算是用32位整数完成的。当一张恶意图片的尺寸大到离谱时乘积就会发生溢出计算结果绕回成一个看起来很小、实则完全错误的数字。于是VLC实际分配的内存空间远远小于解码器真正需要的空间。也许有人会问VLC不是有检查机制吗确实有但遗憾的是这些检查都没能起到作用。其中一道验证例程虽然用了64位运算做除法校验却并没有约束前面那一步32位乘法另一道检查更是直接拿已经溢出的结果做判断等于给恶意尺寸开了绿灯。攻击者正是抓住这一点构造特殊的PNG图片在IHDR头部中填入了大得夸张的宽度和高度数值。VLC的图像解复用器只会检查输入文件本身的大小却不会认真核实图片所声明的尺寸是否真实。等到PNG解码器按照攻击者设定的原始尺寸去处理扫描线时写入的数据就会一股脑冲出那块小得可怜的堆缓冲区。后果有多严重轻则堆内存损坏、程序崩溃重则可能被用于任意代码执行——具体能走到哪一步取决于目标系统的内存布局和平台防护机制的强度。CVE-2026-73324一个没写完的字符串引发的内存泄露第二个漏洞CVE-2026-73324走的是另一条路它瞄准的是VLC的RTSP访问模块问题类型属于CWE-125越界读取和CWE-170不正确的空终止符。当VLC读取modules/access/rtsp/access.c中的RTSP响应行时RtspReadLine函数会调用strncpy把响应内容复制进一个固定大小的缓冲区。可是如果服务器返回的行长度达到或超过4096字节strncpy就不会在末尾补上那个至关重要的空终止符——字符串从此断了尾。接下来这个没有结尾的缓冲区被传给了modules/access/rtsp/rtsp.c中的strdup函数。strdup按常理假设自己拿到的是以空字符结尾的标准C字符串于是它只能一路读下去一直读到缓冲区边界之外直到撞见一个零字节才肯罢休。vulnerable的输入点正是RTSP会话头。VLC会把复制下来的数据当作会话标识符保存起来并在后续请求中把它回传给RTSP服务器。这就意味着恶意服务器可以堂而皇之地让VLC客户端把相邻的堆内存内容主动送过来。一条包含真实RTSP地址的恶意播放列表就足以在受害者打开的瞬间触发整条攻击链。值得一提的是RTSP模块在编译时是可选项不同Linux发行版打包的VLC暴露面可能有所差异但官方发布的版本已经默认启用了该模块Windows和macOS用户并不在安全区内。在补丁到来之前普通用户该怎么办目前使用VLC 3.0.0至3.0.23版本的用户最稳妥的做法就是盯住VideoLAN官方项目库和所用Linux发行版维护者发布的安全公告第一时间安装修复版本。而在补丁落地之前有几条务实的建议值得认真执行不要打开来源不明的PNG文件、媒体播放列表和RTSP流媒体链接这是最直接有效的防线。对于通过网络聊天工具、陌生邮件收到的视频文件直播源务必多留个心眼先用杀毒软件扫描确认无误再播放。对于企业和组织机构来说应当评估内部环境中VLC的使用情况在高风险场景下限制其运行网络层面可以在可行范围内封堵来自不可信来源的RTSP连接同时启用终端安全监控及时捕捉可疑的媒体文件或基于播放列表的可疑传输行为。媒体播放器常年位居最易被忽视的攻击入口榜单前列原因恰恰在于人们对它太熟悉了——熟悉到放松了警惕。这一次VLC曝出的两个漏洞再次提醒我们越是装机率高的软件越要养成及时更新的习惯越是看起来无害的文件越可能藏着精心设计的陷阱。补丁发布之前谨慎就是最好用的安全软件。 一张PNG图片就能让你的电脑中招？VLC播放器曝出两个高危漏洞，官方尚未发布补丁
你有没有想过平时随手双击打开的一张图片、一个看起来再普通不过的播放列表可能会成为别人撬开你电脑内存的钥匙2026年9月9日安全研究人员公开披露了VLC媒体播放器中的两个安全漏洞编号分别为CVE-2026-56711和CVE-2026-73324。这两个漏洞影响范围极广覆盖从3.0.0到3.0.23的全部版本——换句话说绝大多数正在使用VLC的用户电脑里很可能就埋着这两颗定时炸弹。更让人揪心的是截至本文发布时VideoLAN官方尚未推出针对性的修复版本。攻击者只需要诱导受害者打开一个精心构造的媒体文件或播放列表条目就能破坏堆内存甚至直接从内存中窃取敏感数据。这两个漏洞均由Hap Security公司的研究员Fabian Wahle发现其中CVE-2026-56711被评为高危CVSS评分高达8.6CVE-2026-73324为中等 severity评分6.9。CVE-2026-56711藏在图片尺寸里的整数溢出陷阱先来说说危害性更大的那个。CVE-2026-56711是一个整数溢出叠加越界写入的漏洞涉及CWE-190整数溢出或回绕和CWE-787越界写入两类经典问题。问题的根源出在VLC源码src/misc/picture.c文件的AllocatePicture函数中。VLC在计算解码图像平面所需的总缓冲区大小时是把i_pitch和i_lines两个值相乘后相加得到的。这两个字段在include/vlc_picture.h中被定义为有符号整数。关键在于这个乘法运算是用32位整数完成的。当一张恶意图片的尺寸大到离谱时乘积就会发生溢出计算结果绕回成一个看起来很小、实则完全错误的数字。于是VLC实际分配的内存空间远远小于解码器真正需要的空间。也许有人会问VLC不是有检查机制吗确实有但遗憾的是这些检查都没能起到作用。其中一道验证例程虽然用了64位运算做除法校验却并没有约束前面那一步32位乘法另一道检查更是直接拿已经溢出的结果做判断等于给恶意尺寸开了绿灯。攻击者正是抓住这一点构造特殊的PNG图片在IHDR头部中填入了大得夸张的宽度和高度数值。VLC的图像解复用器只会检查输入文件本身的大小却不会认真核实图片所声明的尺寸是否真实。等到PNG解码器按照攻击者设定的原始尺寸去处理扫描线时写入的数据就会一股脑冲出那块小得可怜的堆缓冲区。后果有多严重轻则堆内存损坏、程序崩溃重则可能被用于任意代码执行——具体能走到哪一步取决于目标系统的内存布局和平台防护机制的强度。CVE-2026-73324一个没写完的字符串引发的内存泄露第二个漏洞CVE-2026-73324走的是另一条路它瞄准的是VLC的RTSP访问模块问题类型属于CWE-125越界读取和CWE-170不正确的空终止符。当VLC读取modules/access/rtsp/access.c中的RTSP响应行时RtspReadLine函数会调用strncpy把响应内容复制进一个固定大小的缓冲区。可是如果服务器返回的行长度达到或超过4096字节strncpy就不会在末尾补上那个至关重要的空终止符——字符串从此断了尾。接下来这个没有结尾的缓冲区被传给了modules/access/rtsp/rtsp.c中的strdup函数。strdup按常理假设自己拿到的是以空字符结尾的标准C字符串于是它只能一路读下去一直读到缓冲区边界之外直到撞见一个零字节才肯罢休。vulnerable的输入点正是RTSP会话头。VLC会把复制下来的数据当作会话标识符保存起来并在后续请求中把它回传给RTSP服务器。这就意味着恶意服务器可以堂而皇之地让VLC客户端把相邻的堆内存内容主动送过来。一条包含真实RTSP地址的恶意播放列表就足以在受害者打开的瞬间触发整条攻击链。值得一提的是RTSP模块在编译时是可选项不同Linux发行版打包的VLC暴露面可能有所差异但官方发布的版本已经默认启用了该模块Windows和macOS用户并不在安全区内。在补丁到来之前普通用户该怎么办目前使用VLC 3.0.0至3.0.23版本的用户最稳妥的做法就是盯住VideoLAN官方项目库和所用Linux发行版维护者发布的安全公告第一时间安装修复版本。而在补丁落地之前有几条务实的建议值得认真执行不要打开来源不明的PNG文件、媒体播放列表和RTSP流媒体链接这是最直接有效的防线。对于通过网络聊天工具、陌生邮件收到的视频文件直播源务必多留个心眼先用杀毒软件扫描确认无误再播放。对于企业和组织机构来说应当评估内部环境中VLC的使用情况在高风险场景下限制其运行网络层面可以在可行范围内封堵来自不可信来源的RTSP连接同时启用终端安全监控及时捕捉可疑的媒体文件或基于播放列表的可疑传输行为。媒体播放器常年位居最易被忽视的攻击入口榜单前列原因恰恰在于人们对它太熟悉了——熟悉到放松了警惕。这一次VLC曝出的两个漏洞再次提醒我们越是装机率高的软件越要养成及时更新的习惯越是看起来无害的文件越可能藏着精心设计的陷阱。补丁发布之前谨慎就是最好用的安全软件。