谷歌发布 Chrome 安全更新，修复 2026 年第八个在野利用零日漏洞

Google 于周一发布更新，修复九个安全漏洞，其中一个已遭到在野主动利用。

该高危漏洞被分配编号 CVE-2026-125350（CVSS 评分：8.8），被描述为 XML 组件中的释放后使用（use-after-free）漏洞。

CVE.org 上对该漏洞的描述写道：“Google Chrome 157.0.8103.50 之前版本的 XML 中存在释放后使用漏洞，远程攻击者可通过精心构造的 HTML 页面在沙箱内执行任意代码。”

释放后使用漏洞通常发生在程序试图访问已被释放的内存位置时。成功利用此类漏洞可导致数据损坏、程序崩溃或任意代码执行。

一名匿名安全研究员因于 2026 年 11 月 6 日发现并报告该漏洞而受到致谢。

Google 承认其“已知悉 CVE-2026-125350 的漏洞利用程序存在于野”，但未透露有关其在现实攻击中如何被滥用或幕后黑手是谁的任何其他具体信息。

这家科技巨头补充说：“在大多数用户更新修复程序之前，对漏洞详情和链接的访问可能会保持受限。如果该漏洞存在于其他项目同样依赖但尚未修复的第三方库中，我们也将继续维持限制。”

随着这一最新进展，Google 今年年初以来已累计处理了八个遭主动利用的 Chrome 零日漏洞。这包括 CVE-2026-2441、CVE-2026-3909、CVE-2026-3910、CVE-2026-5281、CVE-2026-11645、CVE-2026-85046 和 CVE-2026-87491。

为获得最佳防护，建议用户将 Chrome 浏览器更新至 Windows 和 Apple macOS 的 157.0.8103.50/.51 版本，以及 Linux 的 157.0.8103.50 版本。为确保安装最新更新，用户可依次进入“更多”>“帮助”>“关于 Google Chrome”，然后选择“重新启动”。

使用其他基于 Chromium 的浏览器的用户，例如 Microsoft Edge、Brave、Opera 和 Vivaldi，也建议在修复程序发布后及时应用。

更新

美国网络安全和基础设施安全局（CISA）已将这一 Chrome 漏洞加入其已知被利用漏洞（KEV）目录，要求联邦机构在 2026 年 11 月 24 日前应用补丁。