cve-2026-125350

ChainCatcher 消息，谷歌於 2026 年 11 月 9 日面向桌面端 Chrome 瀏覽器發布緊急穩定通道更新，修復了包括一個已在野被利用的零日漏洞在內的 9 個安全缺陷。此次更新將 Windows 與 Mac 平台 Chrome 版本推升至 157.8103.5/.51，Linux 平台推升至 157.8103.5，並將在未來數天至數週內逐步推送。本次更新的核心焦點是編號為 CVE-2026-125350 的高危漏洞，類型為 XML 組件中的釋放後使用（use-after-free）。谷歌在公告中明確表示，"已知悉 CVE-2026-125350 存在在野利用"，但未披露具體的攻擊方式、受害規模或攻擊活動歸屬。該漏洞由一名匿名研究員於 2026 年 11 月 6 日報告，距谷歌發布修復補丁僅間隔 3 天。在全部 9 個修復項中，7 個為"高危"級別，2 個為"中危"級別。除 CVE-2026-125350 外，另一高危漏洞 CVE-2026-125346 同樣為 XML 組件的釋放後使用問題，由 Neonix Security 的 Arni Hardarson 於 2026 年 10 月 12 日報告，但谷歌僅將 CVE-2026-125350 標記為在野利用漏洞。其餘高危漏洞涵蓋 WebGL 未初始化資源、FileSystem 授權不當、合成器緩衝區溢出、GPU 越界寫入以及 V8 類型混淆等，多數由谷歌內部安全團隊發現。谷歌同時確認，同日發布的 Android 版 Chrome（157.8103.5）包含與桌面版相同的安全修復，未作例外說明。使用擴展穩定通道（Extended Stable）的用戶則應安裝 11 月 9 日單獨發布的更新，Windows 與 Mac 版本為 156.8078.96，該更新同樣將 CVE-2026-125350 列入高危修復項。香港政府電腦保安事故協調中心（GovCERT.HK）同日發布安全警報，將受影響系統界定為 Chrome 157.8103.5 之前的版本，並指出成功利用相關漏洞可能導致遠程代碼執行、拒絕服務、篡改或安全限制繞過。香港電腦保安事故協調中心（HKCERT）則將此次更新的風險等級評為"極高風險"。谷歌在公告中說明，對漏洞細節和鏈接的訪問可能會在大多數用戶完成更新前保持受限。該公司建議用戶通過"設置 → 關於 Chrome"手動檢查並觸發更新，完成更新後需重啟瀏覽器以使補丁生效。對於仍運行 Chrome 157.8103.5 之前版本的用戶，當前的首要操作是確認版本號並立即重啟完成升級。