Qt Networkモジュールの QNetworkAccessManager におけるHTTP/2クライアントサポートで、解放後使用（use-after-free）の脆弱性が発見され、CVE ID として CVE-2026-95620 が割り当てられました。
影響を受けるバージョン: Qt 6.9.0〜6.11.2
影響: 悪意のあるHTTP/2サーバー、または侵害されたHTTP/2サーバーにより、クライアントアプリケーションがクラッシュする可能性があります。可用性に影響します。
CVSS 4.0スコア: 2.1 / Low
ベクトル文字列: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:A/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:U/AU:N/R:U/RE:L/U:Green
緩和策: QNetworkRequest::setAttribute(QNetworkRequest::Http2AllowedAttribute, false) を使用して、該当するリクエストのHTTP/2を無効にします。
対処方法: 以下のパッチを適用するか、Qt 6.11.3、Qt 6.12.0以降にアップデートしてください。
パッチ
謝辞: Daniel Birtwhistleが本脆弱性を発見し、適切に報告してくれたこと、そして修正の検証に協力してくれたことに感謝します。
