Google khẩn cấp phát hành bản cập nhật bảo mật Chrome: sửa lỗi lỗ hổng zero-day đã bị khai thác trong tự nhiên, khuyến cáo người dùng nâng cấp ngay lập tức

Vào ngày 9 tháng 11 năm 2026, Google đã phát hành bản cập nhật ổn định khẩn cấp cho trình duyệt Chrome trên máy tính để bàn, sửa chữa 9 lỗ hổng bảo mật, bao gồm một lỗ hổng zero-day đã bị khai thác. Bản cập nhật này nâng cấp phiên bản Chrome trên nền tảng Windows và Mac lên 157.8103.5/.51, và trên nền tảng Linux lên 157.8103.5, sẽ được triển khai dần trong vài ngày đến vài tuần tới. Điểm nhấn chính của bản cập nhật này là lỗ hổng nghiêm trọng được đánh số CVE-2026-125350, loại lỗ hổng là sử dụng sau khi giải phóng (use-after-free) trong thành phần XML. Google đã rõ ràng thông báo rằng, "đã biết về việc CVE-2026-125350 bị khai thác", nhưng không tiết lộ phương thức tấn công cụ thể, quy mô nạn nhân hoặc nguồn gốc của hoạt động tấn công.

Lỗ hổng này được một nhà nghiên cứu ẩn danh báo cáo vào ngày 6 tháng 11 năm 2026, chỉ 3 ngày trước khi Google phát hành bản vá. Trong tổng số 9 mục sửa chữa, có 7 mục được đánh giá là "nghiêm trọng" và 2 mục là "trung bình". Ngoài CVE-2026-125350, một lỗ hổng nghiêm trọng khác là CVE-2026-125346 cũng là vấn đề sử dụng sau khi giải phóng trong thành phần XML, được Arni Hardarson từ Neonix Security báo cáo vào ngày 12 tháng 10 năm 2026, nhưng Google chỉ đánh dấu CVE-2026-125350 là lỗ hổng bị khai thác. Các lỗ hổng nghiêm trọng còn lại bao gồm tài nguyên WebGL chưa được khởi tạo, quyền truy cập FileSystem không đúng, tràn bộ đệm trong bộ tổng hợp, ghi vượt giới hạn GPU và nhầm lẫn kiểu V8, hầu hết đều được phát hiện bởi đội ngũ bảo mật nội bộ của Google.

Google cũng xác nhận rằng, phiên bản Chrome trên Android (157.8103.5) phát hành cùng ngày chứa các bản sửa lỗi bảo mật giống như phiên bản máy tính để bàn, không có ngoại lệ nào được nêu. Người dùng sử dụng kênh ổn định mở rộng (Extended Stable) nên cài đặt bản cập nhật được phát hành riêng vào ngày 9 tháng 11, phiên bản Windows và Mac là 156.8078.96, bản cập nhật này cũng liệt kê CVE-2026-125350 vào danh sách sửa chữa nghiêm trọng. Trung tâm Điều phối Sự cố An ninh Máy tính Chính phủ Hồng Kông (GovCERT.HK) đã phát hành cảnh báo an ninh cùng ngày, xác định các hệ thống bị ảnh hưởng là các phiên bản trước Chrome 157.8103.5, và chỉ ra rằng việc khai thác thành công lỗ hổng liên quan có thể dẫn đến thực thi mã từ xa, từ chối dịch vụ, giả mạo hoặc vượt qua các hạn chế bảo mật. Trung tâm Điều phối Sự cố An ninh Máy tính Hồng Kông (HKCERT) đã đánh giá mức độ rủi ro của bản cập nhật này là "rủi ro cực cao". Google trong thông báo đã chỉ ra rằng, quyền truy cập vào chi tiết lỗ hổng và liên kết có thể bị hạn chế cho đến khi hầu hết người dùng hoàn tất cập nhật. Công ty khuyến nghị người dùng kiểm tra và kích hoạt cập nhật thủ công qua "Cài đặt → Giới thiệu về Chrome", sau khi hoàn tất cập nhật cần khởi động lại trình duyệt để áp dụng bản vá. Đối với những người dùng vẫn đang chạy phiên bản trước Chrome 157.8103.5, thao tác hàng đầu hiện tại là xác nhận số phiên bản và khởi động lại ngay lập tức để hoàn tất nâng cấp.