漏洞概述

漏洞名称

Vim 代码执行漏洞

漏洞编号

QVD-2026-17084，CVE-2026-34714

公开时间

2026-03-30

影响量级

万级

奇安信评级

高危

CVSS 3.1分数

8.2

威胁类型

代码执行

利用可能性

高

POC状态

已公开

在野利用状态

未发现

EXP状态

未公开

技术细节状态

未公开

危害描述：攻击者可以通过诱导用户打开特制文件，执行任意代码，获取系统控制权，可能导致数据泄露、系统破坏等严重后果。

01 漏洞详情

影响组件

Vim 是从 vi 发展出来的一个文本编辑器。其代码补完、编译及错误跳转等方便编程的功能特别丰富，在程序员中被广泛使用。

漏洞描述

近日，奇安信CERT监测到官方修复Vim 代码执行漏洞(CVE-2026-34714)，该漏洞源于 Vim 的 tabpanel 选项缺少 P_MLE 安全标志，导致 tabline 脚本中的表达式可被用于注册任意命令。攻击者可以通过诱导用户打开特制文件，执行任意代码，从而导致获取系统控制权，可能导致数据泄露、系统破坏等严重后果。目前该漏洞POC已公开，建议客户尽快做好自查及防护。

02 影响范围

影响版本

9.1.1391 <= Vim < 9.2.0272

其他受影响组件

无

03 复现情况

目前，奇安信威胁情报中心安全研究员已成功复现Vim 代码执行漏洞(CVE-2026-34714)，截图如下：

04 处置建议

安全更新

目前官方已有可更新版本，建议受影响用户升级至最新版本：

Vim >= 9.2.0272

下载地址：

https://github.com/vim/vim/releases/tag/v9.2.0272

05 参考资料

[1]https://www.openwall.com/lists/oss-security/2026/03/30/3

[2]https://github.com/vim/vim/security/advisories/GHSA-2gmj-rpqf-pxvh

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。