Google Chrome 157 vá 213 lỗ hổng bảo mật, bao gồm 7 lỗi nghiêm trọng

• Cập nhật khẩn cấp: Google đã phát hành Chrome 157 cho Windows, macOS và Linux để vá 213 lỗ hổng bảo mật.
• Mức độ nghiêm trọng: Có 7 lỗ hổng được xếp hạng Critical, chủ yếu liên quan đến lỗi bộ nhớ và các thành phần đồ họa.
• Phiên bản bị ảnh hưởng: Người dùng cần cập nhật ngay lên phiên bản 157.0.8103.38 (Linux) hoặc 157.0.8103.38/.39 (Windows/macOS).
• Khuyến nghị: Các đội ngũ IT và người dùng cá nhân cần ưu tiên triển khai bản vá để giảm thiểu rủi ro bị khai thác.

Google vừa chính thức công bố bản cập nhật bảo mật quan trọng cho trình duyệt Chrome, đánh dấu một chu kỳ vá lỗi quy mô lớn với tổng cộng 213 lỗ hổng được xử lý. Bản cập nhật này tập trung vào việc củng cố tính an toàn cho các thành phần đồ họa, quản lý bộ nhớ và các cơ chế kiểm soát truy cập phức tạp trong kiến trúc trình duyệt.

Phân tích chi tiết các lỗ hổng Critical

Trong số 213 lỗ hổng được khắc phục, có 7 lỗ hổng được đánh giá ở mức độ nghiêm trọng (Critical). Các lỗ hổng này chủ yếu tập trung vào các vấn đề an toàn bộ nhớ (memory safety), một lĩnh vực thường xuyên bị nhắm tới trong các cuộc tấn công khai thác trình duyệt.

Lỗ hổng trong thành phần đồ họa (Dawn và ANGLE)

Các thành phần đồ họa như Dawn (thực thi chuẩn WebGPU) và ANGLE là tâm điểm của các lỗ hổng lần này. Lỗi tràn bộ đệm (buffer overflow) trong Dawn đã được ghi nhận qua hai mã CVE cụ thể, cho thấy sự phức tạp trong việc xử lý dữ liệu đồ họa tốc độ cao.

Lỗ hổng CVE-2026-121156 được phát hiện bởi nhà nghiên cứu Zhenpeng “Leo” Lin, trong khi CVE-2026-121247 được chính đội ngũ Google báo cáo. Ngoài ra, CVE-2026-121229 trong ANGLE cũng là một điểm yếu đáng chú ý, cho phép kẻ tấn công có thể thao túng bộ nhớ thông qua các tác vụ đồ họa.

Lỗ hổng Use-After-Free (UAF)

Bốn lỗ hổng còn lại thuộc nhóm Use-After-Free (UAF), một dạng lỗi xảy ra khi phần mềm tiếp tục truy cập vào vùng nhớ đã được giải phóng. Đây là kỹ thuật phổ biến để thực hiện các cuộc tấn công chiếm quyền điều khiển hoặc vượt qua sandbox.

• CVE-2026-121246: Ảnh hưởng đến WebGL.
• CVE-2026-121035: Ảnh hưởng đến thành phần Prerender.
• CVE-2026-121203: Ảnh hưởng đến Geometry.
• CVE-2026-121126: Ảnh hưởng đến Core của trình duyệt.

Đáng chú ý, lỗ hổng liên quan đến Prerender (CVE-2026-121035) có sự tham gia hỗ trợ của AI trong quá trình nghiên cứu, cho thấy xu hướng mới trong việc sử dụng trí tuệ nhân tạo để phát hiện các điểm yếu phần mềm phức tạp.

Khuyến nghị phòng thủ và Hardening

Mặc dù Google chưa ghi nhận các lỗ hổng này đang bị khai thác trong thực tế (in-the-wild), nhưng việc cập nhật là bắt buộc để đảm bảo an toàn hệ thống. Các quản trị viên hệ thống cần thực hiện các bước sau:

• Triển khai bản vá: Đảm bảo tất cả các máy trạm trong doanh nghiệp được cập nhật lên phiên bản 157.0.8103.38 hoặc cao hơn.
• Giám sát phiên bản: Sử dụng các công cụ quản lý tập trung (như GPO hoặc MDM) để kiểm tra phiên bản trình duyệt đang chạy trên toàn bộ hạ tầng.
• Hạn chế quyền truy cập: Đối với các môi trường nhạy cảm, có thể tạm thời vô hiệu hóa WebGPU hoặc các tính năng đồ họa nâng cao nếu không thực sự cần thiết cho công việc.

⚠️ Cảnh báo quan trọng: Việc trì hoãn cập nhật trình duyệt trong môi trường doanh nghiệp làm tăng đáng kể rủi ro bị tấn công thông qua các trang web độc hại. Hãy ưu tiên kiểm thử và triển khai bản vá trong thời gian sớm nhất.

Để biết thêm chi tiết về quy trình công bố lỗ hổng, bạn có thể tham khảo tài liệu từ Chromium Security. Việc giữ cho trình duyệt luôn ở trạng thái cập nhật là lớp phòng thủ đầu tiên trong chiến lược bảo mật đa tầng.