Google khẩn cấp phát hành bản cập nhật bảo mật Chrome: vá lỗ hổng zero-day đang bị khai thác trong thực tế, kêu gọi người dùng nâng cấp ngay lập tức

Tin BlockBeats, ngày 10 tháng 11, Google đã phát hành bản cập nhật kênh ổn định khẩn cấp cho trình duyệt Chrome trên máy tính để bàn vào ngày 9 tháng 11 năm 2026, vá 9 lỗ hổng bảo mật bao gồm một lỗ hổng zero-day đã bị khai thác trong thực tế. Bản cập nhật này nâng phiên bản Chrome trên nền tảng Windows và Mac lên 157.0.8103.50/.51, trên nền tảng Linux lên 157.0.8103.50, và sẽ được phát hành dần dần trong vài ngày tới vài tuần tới.

Trọng tâm chính của bản cập nhật này là lỗ hổng nghiêm trọng có mã CVE-2026-125350, loại lỗi use-after-free trong thành phần XML. Google đã tuyên bố rõ ràng trong thông báo rằng "đã biết CVE-2026-125350 tồn tại khai thác trong thực tế", nhưng không tiết lộ phương thức tấn công cụ thể, quy mô nạn nhân hoặc tổ chức tấn công. Lỗ hổng này được một nhà nghiên cứu ẩn danh báo cáo vào ngày 6 tháng 11 năm 2026, chỉ 3 ngày trước khi Google phát hành bản vá.

Trong tổng số 9 mục được vá, 7 mục ở mức "nghiêm trọng" và 2 mục ở mức "trung bình". Ngoài CVE-2026-125350, một lỗ hổng nghiêm trọng khác là CVE-2026-125346 cũng là vấn đề use-after-free trong thành phần XML, được Arni Hardarson của Neonix Security báo cáo vào ngày 12 tháng 10 năm 2026, nhưng Google chỉ đánh dấu CVE-2026-125350 là lỗ hổng bị khai thác trong thực tế. Các lỗ hổng nghiêm trọng còn lại bao gồm tài nguyên chưa khởi tạo trong WebGL, cấp quyền không đúng trong FileSystem, tràn bộ đệm trong compositor, ghi ngoài phạm vi trong GPU và nhầm lẫn kiểu trong V8, hầu hết được phát hiện bởi nhóm bảo mật nội bộ của Google.

Google cũng xác nhận rằng Chrome phiên bản Android (157.0.8103.50) phát hành cùng ngày bao gồm các bản vá bảo mật giống như phiên bản máy tính để bàn, không có ngoại lệ. Người dùng kênh ổn định mở rộng (Extended Stable) nên cài đặt bản cập nhật phát hành riêng vào ngày 9 tháng 11, phiên bản Windows và Mac là 156.0.8078.96, bản cập nhật này cũng đưa CVE-2026-125350 vào danh sách vá nghiêm trọng.

Trung tâm Điều phối Sự cố An ninh Máy tính Chính phủ Hồng Kông (GovCERT.HK) cùng ngày đã phát hành cảnh báo bảo mật, xác định hệ thống bị ảnh hưởng là các phiên bản Chrome trước 157.0.8103.50, và chỉ ra rằng việc khai thác thành công các lỗ hổng liên quan có thể dẫn đến thực thi mã từ xa, từ chối dịch vụ, giả mạo hoặc bỏ qua giới hạn bảo mật. Trung tâm Điều phối Sự cố An ninh Máy tính Hồng Kông (HKCERT) đã đánh giá mức độ rủi ro của bản cập nhật này là "rủi ro rất cao".

Google cho biết trong thông báo rằng quyền truy cập vào chi tiết lỗ hổng và các liên kết có thể vẫn bị hạn chế cho đến khi phần lớn người dùng hoàn tất cập nhật. Công ty khuyến nghị người dùng kiểm tra thủ công và kích hoạt cập nhật thông qua "Cài đặt → Giới thiệu về Chrome", sau khi hoàn tất cập nhật cần khởi động lại trình duyệt để bản vá có hiệu lực. Đối với người dùng vẫn đang chạy phiên bản Chrome trước 157.0.8103.50, thao tác ưu tiên hiện tại là xác nhận số phiên bản và khởi động lại ngay để hoàn tất nâng cấp.