Google vừa vá zero-day thứ 8 của Chrome trong năm 2026 — và lần này kẻ tấn công đã khai thác thật trước khi bản vá ra mắt. Nếu bạn dùng Chrome, hãy cập nhật và khởi động lại trình duyệt ngay — bản cập nhật tự tải về nhưng chưa có tác dụng cho tới khi Chrome restart.

Lỗi là gì

CVE-2026-125350 (CVSS 8.8) là lỗi use-after-free trong bộ phận xử lý XML của Chrome. Một trang web độc hại có thể dùng nó để chạy code bên trong sandbox của renderer.

  • Google xác nhận: "an exploit for CVE-2026-125350 exists in the wild" — đã có khai thác thật ngoài đời.
  • Lỗi do một nhà nghiên cứu ẩn danh báo cáo ngày 06/11; bản vá ra ngày 09/11, chỉ 3 ngày sau.
  • CISA đưa vào KEV ngày 10/11, hạn liên bang Mỹ 24/11/2026.
  • Google giữ kín chi tiết kỹ thuật cho tới khi đa số người dùng đã cập nhật. Các nhà nghiên cứu đọc bản vá công khai của Chromium cho rằng lỗi nằm trong bản copy libxslt mà Chrome tích hợp — Google chưa xác nhận điều này, và tới 11/11 vẫn chưa có bản vá libxslt từ upstream.
  • Code chạy qua lỗi này nằm trong renderer sandbox — chưa rõ kẻ tấn công có kết hợp thêm lỗi khác để thoát sandbox không, Google chưa nói ai đang khai thác hay nhắm vào ai.

Vá thế nào

  • Chrome 157.0.8103.50/.51 (Windows/Mac) và .50 (Linux/Android), Extended Stable 156.0.8078.96 — ra ngày 09/11.
  • Ngày 11/11 Google ra tiếp bản Stable tích lũy 157.0.8103.78/.79 (Windows/Mac) và .78 (Linux) — nên cập nhật lên bản mới nhất này luôn.
  • Kiểm tra: chrome://settings/help — nếu thấy bản 157.0.8103.50 trở lên thì đã vá, nhưng nhớ relaunch trình duyệt.
  • Cùng bản vá này còn sửa CVE-2026-125346, một lỗi use-after-free XML khác.

Người dùng Edge/Opera lưu ý: CISA cảnh báo lỗi có thể ảnh hưởng các trình duyệt Chromium khác, trong đó có Edge và Opera — nhưng mỗi hãng phải ra bản vá riêng. Tới 11/11, Edge desktop vẫn chưa có bản vá được liệt kê cho lỗi này. Đừng tưởng cập nhật Chrome là xong cho mọi trình duyệt Chromium trên máy.

Nguồn: