Wireshark 4.6.7 更新了什么？一文读懂这次安全加固的重点改动

2026年8月11日

对于常年跟数据包打交道的工程师来说，Wireshark的每一次小版本迭代都不容忽视。2026 年 7 月 8 日，Wireshark 团队同步放出了 4.6.7（当前稳定版）和 4.4.17（旧稳定版）两个维护版本。与以往“加点新功能”不同，这次的 4.6.7 把几乎所有精力都放在了“补洞”上——官方明确提到，近期出现的 AI 辅助漏洞报告让一批潜在风险被快速曝光，因此本次更新集中修复了一整批安全缺陷，并顺手清理了一批影响使用体验的 Bug。下面就带大家逐层拆解，这次升级到底改了什么、要不要立刻升。

一、版本定位：一次典型的“安全维护版”

从更新说明可以看出，Wireshark 4.6.7 没有引入任何新协议，也没有新增捕获文件格式，属于典型的补丁型发布。它的核心任务只有三件：

• 修复多个协议解析器存在的崩溃漏洞；
• 修补部分解析器在畸形报文下的无限循环与信息泄露；
• 解决一批长期困扰中文/多语种用户的界面与功能 Bug。

对于正在使用 4.6.x 系列的用户，官方强烈建议直接升级到 4.6.7，尤其是把 Wireshark 跑在公网边缘、做安全审计或抓取不可信 pcap 文件的场景。

二、本次修复的 12 个安全漏洞（wnpa-sec-2026-52 ~ 63）

这次更新的“重头戏”，是 12 个以 wnpa-sec-2026- 开头的安全公告，覆盖协议解析、文件读取、extcap 抓包等多个层面。下面挑几个跟日常工作最相关的重点说：

2.1 多个主流协议解析器崩溃

以下解析器在接收到畸形或恶意构造的报文时，可能导致 Wireshark 异常退出：

• wnpa-sec-2026-52：Catapult DCT2000 协议解析器崩溃（Issue 21270）；
• wnpa-sec-2026-53：pcapng 文件解析器崩溃（Issue 21285）；
• wnpa-sec-2026-55：SSH 协议解析器崩溃（Issue 21378）；
• wnpa-sec-2026-56：TLS ECH（加密客户端问候）解密流程崩溃（Issue 21390）；
• wnpa-sec-2026-57：IEEE 802.11（Wi-Fi）协议解析器崩溃（Issue 21391）；
• wnpa-sec-2026-58：Z39.50 协议解析器崩溃（Issue 21397）；
• wnpa-sec-2026-59：UMTS FP 协议解析器崩溃（Issue 21398）；
• wnpa-sec-2026-62：DBS Etherwatch 文件解析器崩溃（Issue 21352）。

其中 TLS ECH 与 SSH 这两个解析器崩溃尤其值得注意——前者会影响现代浏览器/云服务的握手分析，后者几乎在每一次远程登录排障中都会用到。万一解析器被恶意输入触发，Wireshark 直接闪退，抓包工作就可能半途而废。

2.2 无限循环与信息泄露类高危问题

• wnpa-sec-2026-54：FMP/NOTIFY 协议解析器进入大循环（Issue 21347），CPU 占用会瞬间拉满；
• wnpa-sec-2026-60：BLF 文件解析器存在信息泄露风险（Issue 21361），可能在解析过程中读出预期之外的数据；
• wnpa-sec-2026-61：多协议解析器在四个不同的 Issue（21275、21277、21330、21383）中均出现无限循环；
• wnpa-sec-2026-63：Ciscodump extcap 抓包工具崩溃（Issue 21375），影响从 Cisco 设备直接拉流抓包的用户。

“无限循环”类问题在抓包软件里是相当危险的——只要遇到一个恶意的 pcap 文件，Wireshark 就可能被锁死，只能强制结束进程，甚至影响后续分析任务的连续性。

三、17 个非安全类 Bug 修复

除了安全漏洞，4.6.7 还清理了一批普通 Bug，其中不少是国内用户日常会踩到的坑：

3.1 界面与本地化问题

最直观的一个：当系统语言设置为荷兰语时，Wireshark 居然显示成了德语（Issue 20347）。这种“语言串台”看起来不大，但对企业用户和教学场景的困扰是实实在在的。此外，捕获过滤器组合框未强制最小/扩展尺寸策略（Issue 21080），导致过滤条件输入体验糟糕，本次也一并修复。

3.2 解析器逻辑错误

• BACapp 协议在解析 “you-are-request” 时报错（Issue 21260）；
• 以太网 POWERLINK（EPL）解析器在配置文件加载路径中存在“释放后使用”漏洞（Issue 21267）；
• 赞助商幻灯片无法正常显示（Issue 21268）；
• Catapult DCT2000解析器未检查头部中的 no_ddi_entries，导致缓冲区下溢/段错误（Issue 21270）；
• HEVC（H.265）解析器在 sub_layer_hrd_parameters() 后 bit_offset 未推进，导致畸形分组判读错误（Issue 21362）；
• dfilter_compile_full 在 ws_strptime 处理时间文本时出现堆缓冲区溢出读取（Issue 21376）；
• Wireshark Logcat 解析器存在堆缓冲区溢出（Issue 21346）。

3.3 内存泄漏与稳定性

• alp-sample 1.pcap 与 nspi.pcap 中分别存在内存泄漏（Issue 21343、21344）；
• 使用最后保存的 recent_common 文件时，Wireshark 会因 HEAP_CORRUPTION 错误崩溃（Issue 21379）；
• 来自 Debian 等系统的 IPv6 Ping 被错误地解析为 “HiPerConTracer” 协议（Issue 21349），影响 ICMPv6 的日常抓包。

四、协议支持与构建层面的细节调整

虽然 4.6.7 没有“新增协议”，但官方对协议解析能力做了针对性优化，覆盖范围相当广，包括：

ALC、BACapp、C2P、Catapult DCT2000、COTP、CSN.1、DCERPC、DCERPC MAPI、DCERPC NSPI、DNS、DVB-S2-TABLE、eDonkey、EPL、FC ELS、FMP/NOTIFY、H.265、HiPerConTracer、IEEE 802.11、LLS、MEGACO、MIH、MPEG DSM-CC、MS-WSP、RELOAD、SGP.32、SSH、STANAG 4607、UMTS FP、WOWW、Z39.50 等二十多个协议。

在捕获文件格式方面，本次更新涉及 Android Logcat、BLF、DBS Etherwatch、Netlog 和 pcapng，意味着打开这几类文件时的稳定性会明显提升。

此外，Windows 安装包已经切换到 Visual Studio 2026 构建；而在 UN*X 系统上，extcap 二进制文件的默认搜索路径也做了调整——例如从 /usr/lib64/wireshark/extcap 变为 /usr/libexec/wireshark/extcap，可通过环境变量 WIRESHARK_EXTCAP_DIR 覆盖。如果你在做自定义插件或自动化脚本，记得同步检查一下路径。

五、要不要立刻升级？三类用户的建议

• 网络安全 / 取证 / 应急响应：必须升级。12 个安全公告里有多个与 SSH、TLS、Wi-Fi、pcapng 相关，都是日常取证的必经路径，4.6.7 之前版本均存在被恶意输入搞崩的风险；
• 企业运维 / 协议调试：建议尽快升级。HEVC、DCERPC、IPv6 Ping 误识别等 Bug 会直接影响排障效率，新版本会让工作流顺畅不少；
• 个人学习 / 教学演示：可以择机升级，4.4.17 同步发布，如果更看重稳定性，可停留在 4.4.17 旧稳定分支。

六、结语：一次低调但关键的“安全加固”

总的来看，Wireshark 4.6.7 是一次以安全为核心的维护版本。它没有带来令人惊艳的新功能，却把日常抓包、协议分析、文件回放过程中最容易踩雷的几个点逐一补齐——这恰恰也是开源网络工具能长期被信任的根本：发现问题，立刻修复，并保持透明披露。

对于把 Wireshark 当作“生产工具”的工程师来说，这次升级属于“必升”级别。无论你是在排查一次 TLS 握手异常、复盘一段 Wi-Fi 抓包，还是单纯打开一个来路不明的 pcap 文件，更新到 4.6.7 都能让你的工作更安心。

升级方式很简单，前往 Wireshark 官方下载页 选择对应平台安装包即可；Windows 用户会同时获得最新的 Npcap 抓包驱动。建议升级完成后重启一次系统，让旧版缓存的解析器和配置完全释放，避免出现“半新半旧”的奇怪问题。