Google Chrome vá 37 lỗ hổng bảo mật: Cảnh báo 7 lỗi nghiêm trọng

• Phạm vi ảnh hưởng: Bản cập nhật giải quyết 37 lỗ hổng bảo mật trên Windows, Mac và Linux.
• Mức độ nghiêm trọng: Có 7 lỗ hổng được xếp hạng Critical, 29 lỗ hổng High và 1 lỗ hổng Medium.
• Cơ chế tấn công: Các lỗ hổng chủ yếu tập trung vào lỗi hỏng bộ nhớ (Memory Corruption) như Buffer Overflow và Use-After-Free.
• Khuyến nghị: Người dùng cần cập nhật ngay lên phiên bản 155.0.8059.79/.80 để đảm bảo an toàn.

Google vừa chính thức phát hành bản cập nhật bảo mật quan trọng cho trình duyệt Chrome, giải quyết tổng cộng 37 lỗ hổng bảo mật khác nhau. Các lỗ hổng này trải dài trên nhiều thành phần cốt lõi của trình duyệt bao gồm đồ họa, xử lý tệp PDF, xử lý phương tiện (media), mạng và các thành phần hệ thống khác. Đây là một đợt vá lỗi quy mô lớn, nhấn mạnh vào việc củng cố an toàn bộ nhớ trong kiến trúc trình duyệt.

Chi tiết các lỗ hổng bảo mật nghiêm trọng

Trong số 37 lỗ hổng được công bố, có 7 lỗ hổng được xếp hạng Critical (nghiêm trọng). Đáng chú ý nhất là CVE-2026-110152, một lỗi tràn bộ đệm (Buffer Overflow) trong ANGLE - lớp chuyển đổi đồ họa của Chrome. Lỗ hổng này được báo cáo bởi nhà nghiên cứu Zhenpeng “Leo” Lin vào ngày 30 tháng 9 năm 2026. Lỗi tràn bộ đệm xảy ra khi phần mềm ghi dữ liệu vượt quá không gian bộ nhớ được cấp phát, cho phép kẻ tấn công thao túng luồng thực thi của chương trình.

Sáu lỗ hổng nghiêm trọng còn lại đều thuộc nhóm Use-After-Free (UAF). Đây là loại lỗi xảy ra khi phần mềm tiếp tục truy cập vào một vùng nhớ sau khi nó đã được giải phóng. Tùy thuộc vào ngữ cảnh, kẻ tấn công có thể lợi dụng UAF để làm treo ứng dụng, làm hỏng dữ liệu hoặc thực thi mã độc hại. Các thành phần bị ảnh hưởng bao gồm:

• CVE-2026-110149: Ảnh hưởng đến thành phần Browser.
• CVE-2026-110136: Ảnh hưởng đến thành phần PDF.
• CVE-2026-110161: Ảnh hưởng đến thành phần Network.
• CVE-2026-110165: Ảnh hưởng đến thành phần Core.
• CVE-2026-110148: Ảnh hưởng đến thành phần SVG.
• CVE-2026-110151: Ảnh hưởng đến thành phần Media.

Bảng tổng hợp các lỗ hổng bảo mật CVE

Phân tích kỹ thuật và rủi ro thực thi mã

Bên cạnh các lỗ hổng Critical, bản cập nhật còn giải quyết nhiều lỗ hổng mức độ High, trong đó có CVE-2026-110169 ảnh hưởng đến V8 - engine JavaScript và WebAssembly của Chrome. Theo các nhà nghiên cứu, một trang HTML được thiết kế đặc biệt có thể cho phép kẻ tấn công từ xa thực thi mã tùy ý bên trong sandbox của Chrome. Mặc dù việc thực thi mã trong sandbox không đồng nghĩa với việc chiếm quyền điều khiển toàn bộ hệ điều hành, nhưng đây vẫn là một bước quan trọng trong chuỗi tấn công (Attack Chain).

⚠️ Cảnh báo quan trọng: Hiện tại chưa có bằng chứng xác nhận các lỗ hổng này đang bị khai thác trong thực tế (in-the-wild). Tuy nhiên, do tính chất nghiêm trọng của các lỗi hỏng bộ nhớ, người dùng cần thực hiện cập nhật ngay lập tức để tránh rủi ro bị tấn công khai thác.

Hướng dẫn cập nhật và phòng thủ

Để đảm bảo an toàn, người dùng cần kiểm tra và cập nhật trình duyệt lên phiên bản mới nhất. Đối với người dùng Windows và Mac, phiên bản cần đạt là 155.0.8059.79/.80, trong khi người dùng Linux cần cập nhật lên 155.0.8059.79.

Các bước thực hiện cập nhật thủ công:

1. Mở trình duyệt Google Chrome.
2. Nhấp vào menu ba chấm ở góc trên bên phải.
3. Chọn Help (Trợ giúp) > About Google Chrome (Giới thiệu về Google Chrome).
4. Trình duyệt sẽ tự động kiểm tra và tải về bản cập nhật.
5. Chọn Relaunch (Chạy lại) để áp dụng các bản vá.

Đối với người dùng Linux, hãy sử dụng trình quản lý gói (package manager) của bản phân phối đang sử dụng để cập nhật gói google-chrome-stable. Việc duy trì trình duyệt ở phiên bản mới nhất là biện pháp phòng thủ hiệu quả nhất trước các mối đe dọa khai thác lỗ hổng zero-day và 1-day hiện nay. Bạn có thể tham khảo thêm thông tin chi tiết tại Google Chrome Releases để theo dõi các bản cập nhật bảo mật mới nhất.