CVE-2026-4946 Ghidra 任意命令执行漏洞

Ghidra 中的 CVE-2026-4946 存在一个关键的安全漏洞，CVSS 评分达到 8.8，可以通过操纵注释指令实现任意代码执行。12.0.3 之前的 Ghidra 版本会错误地处理嵌入在自动提取的二进制数据中的注释指令。攻击者可以创建一个恶意二进制文件，其中包含 @execute 注释（旨在用于受信任的用户编写的注释）在自动分析过程中生成的注释中，例如 Mach-O 二进制文件中的 CFStrings。当分析师与 UI 交互并点击包含这些注释的看似无害的文本时，将执行任意代码。这给安全带来了重大风险，尤其是在分析来自潜在不可信来源的软件时。

Security researchers, reverse engineers, malware analysts, and anyone using Ghidra to analyze potentially malicious binaries are at significant risk. Organizations that rely on Ghidra for threat intelligence or incident response are particularly vulnerable. Users who routinely analyze binaries from untrusted sources are at the highest risk.

• windows / supply-chain: Monitor Ghidra processes for unusual command-line arguments or spawned processes. Use Sysinternals Process Monitor to observe file system and registry activity related to Ghidra.

Get-Process -Name Ghidra | Select-Object -ExpandProperty CommandLine

• linux / server: Examine Ghidra's log files for errors or suspicious activity related to annotation parsing. Use lsof to identify any unusual files or network connections associated with the Ghidra process.

lsof -p $(pidof Ghidra)

• generic web: While not directly applicable to a desktop application, monitor network traffic to and from Ghidra instances for unusual patterns or connections to external command-and-control servers.

1. 2026-03-29Disclosure

   disclosure

2. 2026-03-29Patch

   patch

1. 已保留2026-03-27
2. 发布日期2026-03-29
3. 修改日期2026-03-30
4. EPSS 更新日期2026-04-06

针对此漏洞的建议缓解措施是升级到 Ghidra 版本 12.0.3 或更高版本。此版本更正了自动生成的注释中 @execute 注释指令的错误处理。在执行升级之前，请避免分析来自不可信来源的二进制文件。此外，请检查使用漏洞版本的 Ghidra 执行的任何最近分析，以寻找潜在的利用迹象。升级是消除与 CVE-2026-4946 相关的风险的最有效方法。