CVE-2026-74938：Firefox 垃圾回收缓解绕过漏洞解析

2026 年 8 月，Mozilla 修复了 Firefox 与 Thunderbird 中一个 CVSS 9.8 的高危漏洞 CVE-2026-74938——JavaScript 引擎垃圾回收（GC）缓解机制的绕过，可被用来触发内存破坏并实现远程代码执行。

漏洞机理

浏览器引擎普遍用 GC 配合类型标记来防御 UAF（释放后使用）类漏洞：对象被回收前，引用完整性由 GC 的标记-清除流程保障。CVE-2026-74938 的问题在于攻击者可以操纵 GC 生命周期，让本应被保护的引用提前失效，从而构造出经典的 UAF → 堆破坏 → 代码执行链路。

对浏览器这类"处理不可信内容"的软件来说，这类漏洞的价值在于仅访问一个恶意网页即可触发，无需任何用户交互。

影响范围与处置

• 受影响：Firefox 与 Thunderbird（截至 2026 年 8 月中旬的版本）；
• 处置：升级到已修复的版本；
• 补充：对高价值人群（政企、研发、财务），建议启用自动更新并缩短补丁窗口。

防御纵深

浏览器漏洞很难从单点防住，但可以做纵深：

1. 保持浏览器/邮件客户端自动更新；
2. Web 内容隔离：高价值操作放到隔离浏览器或容器中；
3. 邮件安全：Thunderbird 等客户端禁用远程内容加载；
4. 监控：关注是否被加入 CISA KEV，一旦入列即视为在野利用。

小结

9.8 分的浏览器漏洞 + 零交互触发，是今年夏天最典型的"静默风险"。对大多数用户来说，让浏览器自动更新就是最有效的防线。