Steam曝出严重安全漏洞 点击恶意链接即可被盗号

2026年7月3日，全球最大PC游戏平台Steam被曝存在一项极为严重的安全漏洞。攻击者仅需诱导用户点击一个恶意链接，即可窃取该账户的全部个人数据。

该漏洞由白帽黑客Victor在漏洞赏金计划期间发现，其CVSS危险等级评分高达9.0分（满分10分），属于风险最高的漏洞级别之一。

据披露，攻击者利用该漏洞的方式十分隐蔽：他们会发送一个看似与普通Steam商店页面或游戏页面完全一致的恶意链接。

当用户点击该链接后，页面会跳转至Steam首页，看似一切正常。但在后台，用户的个人数据已被悄无声息地传输给攻击者。更令人担忧的是，该漏洞具有蠕虫式传播特性。一旦某个账户被攻陷，恶意代码会自动通过该账户的Steam聊天列表，向所有好友发送同样的有害链接。这种自我复制和扩散的机制，极大增加了漏洞在平台内快速大规模传播的风险。

截至目前，Steam母公司Valve（估值约450亿美元）尚未发布修复该漏洞的补丁。这意味着该漏洞依然处于可被利用状态，数百万Steam用户的数据安全持续面临威胁。

发现该漏洞的白帽黑客Victor此前曾多次参与Steam的漏洞挖掘，并协助修复过关键安全问题。他在公开披露时写道：“我在@Hacker0x01上做漏洞赏金时，发现了一家估值450亿美元公司中的一个一键式严重（9.0+）蠕虫漏洞。”