Google vá 52 lỗ hổng bảo mật nghiêm trọng trên trình duyệt Chrome

• Phạm vi ảnh hưởng: Bản cập nhật khắc phục 52 lỗ hổng, bao gồm 4 lỗ hổng mức độ nghiêm trọng (Critical), 46 lỗ hổng mức độ cao (High) và 2 lỗ hổng mức độ trung bình (Medium).
• Các thành phần bị ảnh hưởng: Lỗ hổng tập trung vào các thành phần cốt lõi như FileSystem, FileAPI, Skia, Layout, V8, WebRTC và PDFium.
• Khuyến nghị: Người dùng cần cập nhật ngay lên phiên bản 156.0.8078.73/.74 cho Windows/Mac và 156.0.8078.73 cho Linux để đảm bảo an toàn.

Google vừa chính thức phát hành bản cập nhật bảo mật quan trọng cho trình duyệt Chrome, giải quyết tổng cộng 52 lỗ hổng bảo mật khác nhau. Động thái này nhằm củng cố tính toàn vẹn của trình duyệt trước các nguy cơ tấn công khai thác lỗ hổng CVE nghiêm trọng. Theo thông báo từ nhà phát triển, phiên bản Stable hiện đã được nâng cấp lên 156.0.8078.73/.74 trên Windows và Mac, trong khi người dùng Linux sẽ nhận được phiên bản 156.0.8078.73.

Phân tích chi tiết các lỗ hổng nghiêm trọng (Critical Vulnerabilities)

Trong số 52 lỗ hổng được vá, có 4 lỗ hổng được xếp hạng nghiêm trọng (Critical). Các lỗ hổng này ảnh hưởng trực tiếp đến các thành phần xử lý tệp tin và hiển thị trang web, vốn là những mục tiêu hấp dẫn cho các cuộc tấn công khai thác từ xa.

Đáng chú ý, lỗ hổng CVE-2026-118306 liên quan đến lỗi hỏng bộ nhớ (memory corruption) trong FileSystem, được báo cáo bởi Xinyang Ge từ Anthropic. Bên cạnh đó, CVE-2026-118344 là một lỗi Use-after-free (UAF) trong thành phần Layout, một dạng lỗi bộ nhớ kinh điển cho phép kẻ tấn công truy cập vào vùng nhớ đã được giải phóng, từ đó có thể dẫn đến việc thực thi mã từ xa (RCE) hoặc làm treo trình duyệt.

Tổng quan về các lỗ hổng mức độ cao (High-Severity)

Ngoài 4 lỗ hổng nghiêm trọng, bản cập nhật lần này còn xử lý 46 lỗ hổng mức độ cao. Các lỗi này bao gồm nhiều kỹ thuật khai thác khác nhau như hỏng bộ nhớ, thiếu kiểm tra đầu vào (improper input validation), và lỗi phân quyền (access control). Các thành phần như V8, ANGLE, WebRTC và PDFium đều nằm trong danh sách cần được vá lỗi.

⚠️ Cảnh báo quan trọng: Mặc dù Google chưa xác nhận các lỗ hổng này đã bị khai thác trong thực tế (in-the-wild), nhưng việc công bố chi tiết kỹ thuật thường là tiền đề để các tác nhân đe dọa phát triển mã khai thác (exploit). Người dùng và quản trị viên hệ thống cần ưu tiên cập nhật ngay lập tức.

Danh sách các lỗ hổng mức độ cao tiêu biểu

• CVE-2026-118318: Lỗi kiểm soát truy cập trong V8.
• CVE-2026-118333: Lỗi thiếu ủy quyền trong thành phần Video.
• CVE-2026-118342: Lỗi ghi ngoài phạm vi (Out-of-bounds write) trong Editing.
• CVE-2026-118357: Lỗi Use-after-free trong FileSystem.

Hướng dẫn cập nhật và phòng thủ

Để đảm bảo an toàn, người dùng cá nhân cần thực hiện kiểm tra phiên bản trình duyệt thông qua menu Help > About Google Chrome. Trình duyệt sẽ tự động tải xuống và yêu cầu khởi động lại để áp dụng các bản vá. Đối với môi trường doanh nghiệp, quản trị viên nên đảm bảo chính sách cập nhật tự động được kích hoạt trên các thiết bị Windows thông qua GPO hoặc các công cụ quản lý tập trung.

Đối với các chuyên gia bảo mật, việc theo dõi Chromium Security là cần thiết để nắm bắt lộ trình công bố chi tiết các lỗ hổng sau khi đa số người dùng đã cập nhật. Việc hiểu rõ cơ chế của các lỗi như UAF hay Memory Corruption sẽ giúp đội ngũ SOC xây dựng các quy tắc phát hiện (Detection Rules) hiệu quả hơn trên hệ thống EDR/SIEM.