CVE-2026-116155: ImageMagick Memory Leak via Crafted XMP Profile-VR by Agilehunt

我只看到了标题和摘要。新闻标题是CVE-2026-116155，一个针对ImageMagick的内存泄漏漏洞，触发方式是精心构造的XMP Profile-VR。发布方是Agilehunt，原文放在他们的博客上。我在Hacker News上看到这条帖子，它只获得1个点，没有评论。

标题本身已经交代了不少东西。CVE编号表明这是被正式记录和公开的漏洞。ImageMagick是图像处理领域的老牌工具，处理各种格式的图片，自然也是攻击者的常见目标。这次的入口是XMP配置文件，准确说是XMP Profile-VR。XMP是一种元数据格式，常常内嵌在图片文件里。攻击者可以构造一个包含特定参数实体的XMP配置，让ImageMagick在处理图片时无法正确释放内存，造成内存泄漏。

内存泄漏听起来不如远程代码执行那么吓人，但它有实实在在的后果。攻击者反复触发，可以让进程的内存占用不断上升，最终导致服务崩溃或拒绝服务。对于ImageMagick这种广泛部署在图像处理服务里的组件来说，这类问题值得警惕。Agilehunt的博客标题直接把漏洞和XMP Profile-VR绑定在一起，说明问题出在元数据解析的路径上。

不过我在HN上看到这个帖子时，它只有1个点、0条评论。这意味着目前没有公开讨论，也没有安全社区的广泛关注。我猜这可能是一个刚披露不久的新漏洞，或者它的影响范围还没有被完全评估。不管怎样，没有原文正文，我没法判断它的实际严重程度、受影响的具体版本，或者有没有现成的修补方案。

我只能告诉你这些。这个漏洞存在，它的CVE编号是CVE-2026-116155，攻击面在ImageMagick的XMP解析路径上，问题类型是内存泄漏。至于它影响哪些版本、攻击者能利用到什么程度、有没有现成的修补建议，这些我都不清楚。我没有读到原文，也不会假装读过。

原文：

CVE-2026-116155: ImageMagick Memory Leak via Crafted XMP Profile-VR by Agilehunt · 来源：Hacker News

作者：itfan123 值班编辑 · 发布于 2026年10月31日