Google vá lỗ hổng zero-day thứ tám bị khai thác trên Chrome trong năm 2026

Google vừa phát hành bản cập nhật bảo mật cho Chrome nhằm vá chín lỗ hổng, trong đó có một lỗ hổng đang bị khai thác trên thực tế. Đây là zero-day bị khai thác chủ động thứ tám của Chrome kể từ đầu năm 2026.

Chi tiết lỗ hổng

Lỗ hổng có mức độ nghiêm trọng cao, được gán mã CVE-2026-125350, là lỗi use-after-free trong thành phần XML. Loại lỗi này xảy ra khi chương trình cố truy cập vào một vùng nhớ đã được giải phóng. Kẻ tấn công khai thác thành công có thể gây hỏng dữ liệu, làm chương trình bị treo hoặc thực thi mã tùy ý.

Một nhà nghiên cứu bảo mật ẩn danh được ghi nhận là người phát hiện và báo cáo lỗ hổng vào ngày 6/11/2026.

Phản hồi từ Google

Google xác nhận họ biết rằng tồn tại bản khai thác cho CVE-2026-125350 trên thực tế, nhưng không tiết lộ thêm thông tin cụ thể về cách lỗ hổng bị lợi dụng hay danh tính kẻ đứng sau. Hãng cho biết quyền truy cập chi tiết và liên kết về lỗi có thể bị hạn chế cho đến khi phần lớn người dùng đã cập nhật bản vá. Google cũng duy trì hạn chế nếu lỗi nằm trong thư viện bên thứ ba mà các dự án khác cũng phụ thuộc nhưng chưa vá.

Bối cảnh zero-day trong năm

Với bản cập nhật này, Google đã xử lý tổng cộng tám zero-day Chrome bị khai thác từ đầu năm, gồm CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 và CVE-2026-87491.

Khuyến nghị cập nhật

Để được bảo vệ tốt nhất, người dùng nên cập nhật Chrome lên phiên bản 157.0.8103.50/.51 cho Windows và macOS, và 157.0.8103.50 cho Linux. Người dùng có thể vào More > Help > About Google Chrome rồi chọn Relaunch để đảm bảo bản cập nhật mới nhất được cài đặt.

Người dùng các trình duyệt dựa trên Chromium khác như Microsoft Edge, Brave, Opera và Vivaldi cũng được khuyến nghị áp dụng bản vá ngay khi có sẵn.

Nguồn: The Hacker News