免费扫描
分析待定CVE-2026-23863

CVE-2026-23863: 附件欺骗漏洞在 WhatsApp Desktop

平台

android

组件

whatsapp

修复版本

2.3000.1032164386.258709

在NVD查看
保存

CVE-2026-23863 描述了 WhatsApp Desktop for Windows 中的附件欺骗漏洞。攻击者可以利用此漏洞，通过在文件名中嵌入 NUL 字节，将恶意文档伪装成其他类型的文件。当用户打开这些文件时，它们可能会被执行，从而可能导致未经授权的访问或恶意代码执行。受影响的版本包括 2.3000.0.0 到 2.3000.1032164386.258709。已发布安全更新，建议用户尽快升级。

Android / Gradle

检测此 CVE 是否影响你的项目

上传你的 build.gradle 文件，立即知道是否受影响。

上传 build.gradle

影响与攻击场景

此漏洞允许攻击者通过欺骗用户打开恶意文件来执行代码。攻击者可以创建一个看似无害的文档（例如，.txt 或 .pdf），但在文件名中插入 NUL 字节。WhatsApp Desktop 会错误地将此文件显示为其他类型的文件，例如 .exe。当用户打开该文件时，系统会将其作为可执行文件运行，从而允许攻击者在受害者机器上执行任意代码。潜在影响包括恶意软件感染、数据泄露、以及对系统资源的未经授权的访问。虽然目前尚未观察到实际利用情况，但该漏洞的潜在影响不容忽视，尤其是在用户容易受到社会工程学攻击的情况下。

利用背景

目前尚未观察到此漏洞在野外被利用的证据。该漏洞已发布到 NVD（美国国家漏洞数据库），并已分配了 CVSS 评分为中等 (6.5)。该漏洞尚未被添加到 KEV（Known Exploited Vulnerabilities）目录中，EPSS（Exploit Prediction Score System）的评估结果也待定。建议密切关注安全社区的动态，以获取有关此漏洞的最新信息。

威胁情报

漏洞利用状态

概念验证未知
CISA KEVNO
互联网暴露高

EPSS

0.01% (1% 百分位)

CVSS 向量

威胁情报· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N/E:F/RL:O/RC:C6.5MEDIUMAttack VectorNetwork攻击者如何到达目标Attack ComplexityLow利用漏洞所需的条件Privileges RequiredNone攻击所需的认证级别User InteractionRequired是否需要受害者采取行动ScopeUnchanged超出受影响组件的影响范围ConfidentialityNone敏感数据泄露风险IntegrityHigh数据未授权篡改风险AvailabilityNone服务中断风险nextguardhq.com · CVSS v3.1 基础分数
这些指标意味着什么？
Attack Vector
网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
Attack Complexity
低 — 无需特殊条件，可以稳定地利用漏洞。
Privileges Required
无 — 无需认证，无需凭证即可利用。
User Interaction
需要 — 受害者必须打开文件、点击链接或访问特制页面。
Scope
未改变 — 影响仅限于脆弱组件本身。
Confidentiality
无 — 无机密性影响。
Integrity
高 — 攻击者可写入、修改或删除任何数据。
Availability
无 — 无可用性影响。

受影响的软件

组件whatsapp
供应商Facebook
最低版本2.3000.0.0
最高版本2.3000.1032164386.258709
修复版本2.3000.1032164386.258709

弱点分类 (CWE)

CWE-158

时间线

  1. 发布日期
  2. EPSS 更新日期

缓解措施和替代方案

解决此漏洞的首要措施是立即升级 WhatsApp Desktop for Windows 到版本 2.3000.1032164386.258709 或更高版本。在升级之前，建议备份 WhatsApp 数据，以防升级过程中出现问题。如果升级导致应用程序不稳定或出现其他问题，可以尝试回滚到之前的版本。此外，建议用户谨慎对待来自未知来源的附件，避免打开可疑文件。虽然没有特定的 WAF 或代理规则可以完全缓解此漏洞，但加强文件类型验证和执行策略可以降低风险。

修复方法翻译中…

Actualice WhatsApp Desktop para Windows a la versión 2.3000.1032164386.258709 o superior para mitigar el riesgo de spoofing de archivos.  Esta actualización corrige la forma en que la aplicación maneja los nombres de archivo, evitando que archivos maliciosos se ejecuten bajo una falsa identidad.  Descargue la última versión desde el sitio web oficial de WhatsApp.

常见问题

什么是 CVE-2026-23863 — 附件欺骗漏洞在 WhatsApp Desktop?

CVE-2026-23863 是 WhatsApp Desktop for Windows 中的一个漏洞，允许攻击者通过伪造附件文件名来欺骗用户执行恶意代码。受影响的版本包括 2.3000.0.0 到 2.3000.1032164386.258709。

我是否受到 CVE-2026-23863 在 WhatsApp Desktop 的影响?

如果您使用的是 WhatsApp Desktop for Windows 的版本低于 2.3000.1032164386.258709，则您可能受到此漏洞的影响。请立即升级到最新版本。

如何修复 CVE-2026-23863 在 WhatsApp Desktop?

修复此漏洞的最佳方法是升级 WhatsApp Desktop for Windows 到版本 2.3000.1032164386.258709 或更高版本。请确保备份您的 WhatsApp 数据。

CVE-2026-23863 是否正在被积极利用?

目前尚未观察到此漏洞在野外被利用的证据，但由于其潜在影响，建议采取预防措施。

在哪里可以找到 WhatsApp 官方关于 CVE-2026-23863 的安全公告?

请访问 WhatsApp 的安全公告页面或查阅 WhatsApp 官方网站获取有关 CVE-2026-23863 的最新信息。

你的项目受影响吗?

上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。

免费扫描搜索 CVE
Android / Gradle

检测此 CVE 是否影响你的项目

上传你的 build.gradle 文件，立即知道是否受影响。

上传 build.gradle
live免费扫描

立即扫描您的Android / Gradle项目 — 无需账户

Upload your build.gradle and get the vulnerability report instantly. No account. Uploading the file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.

手动扫描Slack/邮件提醒持续监控白标报告

拖放您的依赖文件

composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...