cve-2026-125350

ChainCatcher 消息，谷歌于 2026 年 11 月 9 日面向桌面端 Chrome 浏览器发布紧急稳定通道更新，修复了包括一个已在野被利用的零日漏洞在内的 9 个安全缺陷。此次更新将 Windows 与 Mac 平台 Chrome 版本推升至 157.8103.5/.51，Linux 平台推升至 157.8103.5，并将在未来数天至数周内逐步推送。本次更新的核心焦点是编号为 CVE-2026-125350 的高危漏洞，类型为 XML 组件中的释放后使用（use-after-free）。谷歌在公告中明确表示，“已知悉 CVE-2026-125350 存在在野利用”，但未披露具体的攻击方式、受害规模或攻击活动归属。该漏洞由一名匿名研究员于 2026 年 11 月 6 日报告，距谷歌发布修复补丁仅间隔 3 天。在全部 9 个修复项中，7 个为“高危”级别，2 个为“中危”级别。除 CVE-2026-125350 外，另一高危漏洞 CVE-2026-125346 同样为 XML 组件的释放后使用问题，由 Neonix Security 的 Arni Hardarson 于 2026 年 10 月 12 日报告，但谷歌仅将 CVE-2026-125350 标记为在野利用漏洞。其余高危漏洞涵盖 WebGL 未初始化资源、FileSystem 授权不当、合成器缓冲区溢出、GPU 越界写入以及 V8 类型混淆等，多数由谷歌内部安全团队发现。谷歌同时确认，同日发布的 Android 版 Chrome（157.8103.5）包含与桌面版相同的安全修复，未作例外说明。使用扩展稳定通道（Extended Stable）的用户则应安装 11 月 9 日单独发布的更新，Windows 与 Mac 版本为 156.8078.96，该更新同样将 CVE-2026-125350 列入高危修复项。香港政府电脑保安事故协调中心（GovCERT.HK）同日发布安全警报，将受影响系统界定为 Chrome 157.8103.5 之前的版本，并指出成功利用相关漏洞可能导致远程代码执行、拒绝服务、篡改或安全限制绕过。香港电脑保安事故协调中心（HKCERT）则将此次更新的风险等级评为“极高风险”。谷歌在公告中说明，对漏洞细节和链接的访问可能会在大多数用户完成更新前保持受限。该公司建议用户通过“设置 → 关于 Chrome”手动检查并触发更新，完成更新后需重启浏览器以使补丁生效。对于仍运行 Chrome 157.8103.5 之前版本的用户，当前的首要操作是确认版本号并立即重启完成升级。