Google vá 10 lỗ hổng bảo mật nghiêm trọng trên Chrome, bao gồm lỗi do AI phát hiện

• Google đã phát hành bản cập nhật bảo mật khẩn cấp cho Chrome, giải quyết 10 lỗ hổng bảo mật trên các nền tảng Windows, Mac và Linux.
• Lỗ hổng nghiêm trọng nhất là CVE-2026-110922, một lỗi use-after-free trong tính năng Prerender của trình duyệt.
• Đáng chú ý, một lỗ hổng tham nhũng bộ nhớ trong DOM (CVE-2026-110913) đã được phát hiện với sự hỗ trợ phân tích từ mô hình AI Claude.
• Người dùng được khuyến nghị cập nhật trình duyệt lên phiên bản mới nhất ngay lập tức để giảm thiểu rủi ro bị khai thác.

Vào ngày 15 tháng 10 năm 2026, Google đã chính thức công bố bản cập nhật bảo mật quan trọng cho trình duyệt Chrome, nhằm khắc phục 10 lỗ hổng bảo mật khác nhau. Các phiên bản được phát hành bao gồm 155.0.8059.84/.85 cho Windows và Mac, cùng phiên bản 155.0.8059.84 cho Linux. Đây là đợt cập nhật định kỳ nhằm củng cố tính an toàn cho hệ sinh thái trình duyệt trước các nguy cơ tấn công mạng ngày càng tinh vi.

Phân tích các lỗ hổng bảo mật trọng yếu

Trong số 10 lỗ hổng được công bố, CVE-2026-110922 được đánh giá ở mức độ Critical (nghiêm trọng). Đây là lỗi use-after-free (sử dụng bộ nhớ sau khi đã giải phóng) nằm trong tính năng Prerender của Chrome. Lỗi này cho phép kẻ tấn công có thể gây treo trình duyệt hoặc thực thi mã tùy ý thông qua việc thao túng bộ nhớ, một kỹ thuật thường thấy trong các cuộc tấn công khai thác lỗ hổng trình duyệt.

Bên cạnh đó, lỗ hổng CVE-2026-110913 cũng thu hút sự chú ý đặc biệt khi được báo cáo bởi nhà nghiên cứu Xinyang Ge với sự hỗ trợ từ mô hình AI Claude. Đây là lỗi tham nhũng bộ nhớ trong thành phần DOM (Document Object Model), đóng vai trò quản lý cấu trúc trang web. Việc tích hợp AI vào quy trình tìm kiếm lỗ hổng bảo mật đang trở thành một xu hướng mới, giúp tăng tốc độ phát hiện các lỗi logic phức tạp mà phương pháp fuzzing truyền thống có thể bỏ sót.

Danh sách chi tiết các lỗ hổng

Dưới đây là bảng tổng hợp các lỗ hổng bảo mật đã được Google khắc phục trong đợt cập nhật này:

Cơ chế phòng thủ và khuyến nghị cập nhật

Google cho biết họ sử dụng các công cụ phân tích bảo mật tiên tiến như AddressSanitizer, MemorySanitizer, libFuzzer và AFL trong quá trình phát triển để phát hiện sớm các lỗ hổng. Tuy nhiên, để đảm bảo an toàn tuyệt đối, người dùng và các tổ chức cần thực hiện các bước sau:

• Kiểm tra cập nhật: Truy cập vào trang chrome://settings/help để trình duyệt tự động kiểm tra và tải về phiên bản mới nhất.
• Khởi động lại trình duyệt: Sau khi quá trình tải xuống hoàn tất, người dùng bắt buộc phải khởi động lại Chrome để áp dụng các bản vá bảo mật.
• Quản trị hệ thống: Đối với các doanh nghiệp, quản trị viên cần triển khai chính sách cập nhật tự động thông qua các công cụ quản lý tập trung (GPO hoặc MDM) để đảm bảo toàn bộ thiết bị trong mạng lưới đều được bảo vệ.

⚠️ Cảnh báo quan trọng: Mặc dù Google chưa ghi nhận các lỗ hổng này đang bị khai thác trong thực tế (in-the-wild), nhưng việc công bố chi tiết kỹ thuật có thể tạo điều kiện cho các tác nhân đe dọa phát triển mã khai thác (exploit). Do đó, việc trì hoãn cập nhật là hành động gây rủi ro cao cho hệ thống thông tin cá nhân và doanh nghiệp. Bạn có thể tham khảo thêm thông tin chi tiết tại Chrome Releases Blog để theo dõi các bản vá tiếp theo.