零日漏洞

ChainCatcher 消息，谷歌於 2026 年 11 月 9 日面向桌面端 Chrome 瀏覽器發布緊急穩定通道更新，修復了包括一個已在野被利用的零日漏洞在內的 9 個安全缺陷。此次更新將 Windows 與 Mac 平台 Chrome 版本推升至 157.8103.5/.51，Linux 平台推升至 157.8103.5，並將在未來數天至數週內逐步推送。本次更新的核心焦點是編號為 CVE-2026-125350 的高危漏洞，類型為 XML 組件中的釋放後使用（use-after-free）。谷歌在公告中明確表示，"已知悉 CVE-2026-125350 存在在野利用"，但未披露具體的攻擊方式、受害規模或攻擊活動歸屬。該漏洞由一名匿名研究員於 2026 年 11 月 6 日報告，距谷歌發布修復補丁僅間隔 3 天。在全部 9 個修復項中，7 個為"高危"級別，2 個為"中危"級別。除 CVE-2026-125350 外，另一高危漏洞 CVE-2026-125346 同樣為 XML 組件的釋放後使用問題，由 Neonix Security 的 Arni Hardarson 於 2026 年 10 月 12 日報告，但谷歌僅將 CVE-2026-125350 標記為在野利用漏洞。其餘高危漏洞涵蓋 WebGL 未初始化資源、FileSystem 授權不當、合成器緩衝區溢出、GPU 越界寫入以及 V8 類型混淆等，多數由谷歌內部安全團隊發現。谷歌同時確認，同日發布的 Android 版 Chrome（157.8103.5）包含與桌面版相同的安全修復，未作例外說明。使用擴展穩定通道（Extended Stable）的用戶則應安裝 11 月 9 日單獨發布的更新，Windows 與 Mac 版本為 156.8078.96，該更新同樣將 CVE-2026-125350 列入高危修復項。香港政府電腦保安事故協調中心（GovCERT.HK）同日發布安全警報，將受影響系統界定為 Chrome 157.8103.5 之前的版本，並指出成功利用相關漏洞可能導致遠程代碼執行、拒絕服務、篡改或安全限制繞過。香港電腦保安事故協調中心（HKCERT）則將此次更新的風險等級評為"極高風險"。谷歌在公告中說明，對漏洞細節和鏈接的訪問可能會在大多數用戶完成更新前保持受限。該公司建議用戶通過"設置 → 關於 Chrome"手動檢查並觸發更新，完成更新後需重啟瀏覽器以使補丁生效。對於仍運行 Chrome 157.8103.5 之前版本的用戶，當前的首要操作是確認版本號並立即重啟完成升級。

ChainCatcher 消息，据 Decrypt 報導，谷歌威脅情報組確認，網路犯罪分子利用人工智慧模型發現並利用了一個零日漏洞，該漏洞存在於一款流行的開源 Web 管理工具中，可繞過雙因素身份驗證。谷歌表示，這是該公司首次在真實環境中確認 AI 輔助零日漏洞開發。在攻擊者準備大規模利用之前，谷歌已與受影響廠商合作修補了該漏洞。谷歌報告指出，該漏洞是一個邏輯錯誤，軟體信任了某個可繞過雙因素認證的條件。與傳統掃描器尋找崩潰或錯誤代碼不同，AI 分析了軟體的預期工作方式並檢測到邏輯矛盾，使攻擊者能夠在不破壞加密的情況下繞過安全檢查。

ChainCatcher 消息，萊特幣（Litecoin）在 X 平台發文披露近期一項零日漏洞曾導致 DoS 攻擊，影響主要礦池運行，未及時更新的挖礦節點允許一筆無效的 MWEB（MimbleWimble Extension Block）交易被執行，使相關代幣可被提取至第三方 DEX。Litecoin 網絡通過一次 13 個區塊的重組（reorg）回滾了這些無效交易，確認其不會被納入主鏈，該期間內所有有效交易均未受影響，目前漏洞已被完全修復，網絡運行恢復正常。

ChainCatcher 消息，据 Lookonchain 安全提醒，Apple 已修復 ImageIO 框架中一個關鍵零日漏洞 (CVE-2025-43300)，該漏洞已被廣泛利用。立即更新至 iOS 18.6.2 / iPadOS / macOS，否則將面臨通過惡意圖像進行攻擊的風險。

ChainCatcher 消息，慢霧 CISO @im23pds 發推提醒 ChromeV8 引擎漏洞 CVE-2025-6554 允許攻擊者透過精心構造的網頁運行惡意代碼，目前相關利用 PoC 已經公開，正在被利用，用戶需注意升級，避免釣魚攻擊導致資產損失。

ChainCatcher 消息，慢霧發布安全警報稱，谷歌瀏覽器（@googlechrome）已發布緊急補丁，修復了一個高危零日漏洞（CVE-2025-5419），該漏洞已被發現正在被積極利用。該缺陷存在於 V8 JavaScript 引擎中，允許遠程攻擊者通過精心製作的 HTML 頁面破壞內存。請立即更新到： Chrome 137.0.7151.68/.69 (Windows/macOS)Chrome 137.0.7151.68 (Linux)使用基於 Chromium 的瀏覽器（如 Edge、Brave、Opera、Vivaldi）的用戶也應在補丁可用後儘快更新。請保持安全，及時更新。

ChainCatcher 消息，微軟網絡安全研究人員發現了一個 Chromium 引擎中的零日漏洞，該引擎為 Chrome 等瀏覽器提供支持。這個漏洞被一個名為 Citrine Sleet 的朝鮮黑客組織利用，專門針對加密貨幣用戶。Citrine Sleet 使用了名為 FudModule 的 rootkit 惡意軟件，通過創建虛假的加密貨幣交易平台網站，誘使用戶下載惡意軟件或武器化的加密錢包，從而獲得遠程代碼執行權限，進而竊取受害者的加密資產。此漏洞已在 8 月 21 日被修復，用戶需儘快更新瀏覽器以確保安全。 這是今年第三個被利用的 Chromium 零日漏洞。

ChainCatcher 消息，Web3 安全機構 Wallet Guard 發文表示，谷歌已針對新的零日漏洞（CVE-2023-7024）發布緊急更新，建議用戶及時更新 Chrome 瀏覽器（包括Brave、Opera和Edge）。

ChainCatcher 消息，Fantom 基金會正式確認，此前有少數 Fantom 錢包被盜，其中包括約 55 萬美元的 Fantom 基金會資金。儘管最初有報導稱此次攻擊是通過 Google Chrome 的零日漏洞進行的，但具體的攻擊機制仍在調查中。此外，一個 Fantom 員工的個人錢包也受到了影響。部分受影響的錢包曾被標記為"基金會錢包"，但後來已被重新分配給一名 Fantom 員工，這次事件被視為針對個人的目標攻擊。目前，員工損失的資金正在被追蹤和調查中。

ChainCatcher 消息，Fantom 基金會 Telegram社區管理員Jane表示，因Google Chrome上的零日漏洞，Fantom基金會的一些熱錢包資產被耗盡，損失達數十萬美元，目前正在積極跟蹤損失資金的動向。基金會大部分資產存儲在冷錢包未受影響。Jane 建議用戶最好把 Chrome 升級到最新版本。據 CertiK 監測，Fantom 基金會以太坊和 Fantom 上的部分錢包遭攻擊，目前已確認的損失達 65.7萬美元。

ChainCatcher 消息，据 安全公司 BleepingComputer 的報告，谷歌發布緊急安全更新，修復自今年初以來在攻擊中被利用的第四個 Chrome 零日漏洞，目前已經出現存在針對 CVE-2023-4863 的野外攻擊。新版本正在向穩定版和擴展穩定版渠道的用戶推出，預計將在未來幾天或幾週內覆蓋整個用戶群。建議 Chrome 用戶將其 Web 瀏覽器升級到 116.0.5845.187（Mac 和 Linux）和 116.0.5845.187/.188（Windows）。

鏈捕手消息，Chrome 瀏覽器發布 105.0.5195.102（Mac、Linux 和 Windows）緊急版本更新，以修復新的高危零日漏洞，該漏洞代號為 CVE-2022-3075，是由運行時庫集合 Mojo 的數據驗證不足引起的。近 3 個月內 Chrome 瀏覽器已連續多次被發現出現零日漏洞。（來源鏈接）