BlockBeats tin tức, ngày 10 tháng 11, Google đã phát hành bản cập nhật kênh ổn định khẩn cấp cho trình duyệt Chrome trên máy tính để bàn vào ngày 9 tháng 11 năm 2026, sửa chữa 9 lỗ hổng bảo mật, bao gồm một lỗ hổng zero-day đang bị khai thác ngoài thực tế. Bản cập nhật này nâng phiên bản Chrome trên nền tảng Windows và Mac lên 157.0.8103.50/.51, trên nền tảng Linux lên 157.0.8103.50, và sẽ được triển khai dần trong vài ngày đến vài tuần tới.
Điểm trọng tâm của bản cập nhật này là lỗ hổng nghiêm trọng có mã CVE-2026-125350, thuộc loại use-after-free trong thành phần XML. Google trong thông báo đã rõ ràng tuyên bố: “Đã xác nhận CVE-2026-125350 đang bị khai thác ngoài thực tế”, nhưng không tiết lộ phương thức tấn công cụ thể, quy mô nạn nhân hay nguồn gốc của các hoạt động tấn công. Lỗ hổng này được một nhà nghiên cứu ẩn danh báo cáo vào ngày 6 tháng 11 năm 2026, chỉ cách 3 ngày kể từ khi Google phát hành bản vá sửa lỗi.
Trong tổng số 9 điểm sửa lỗi, 7 điểm ở mức «nguy hiểm cao» và 2 điểm ở mức «nguy hiểm trung bình». Ngoài CVE-2026-125350, lỗ hổng nguy hiểm cao khác là CVE-2026-125346 cũng là vấn đề sử dụng sau khi giải phóng trong thành phần XML, được Arni Hardarson từ Neonix Security báo cáo vào ngày 12 tháng 10 năm 2026, nhưng Google chỉ đánh dấu CVE-2026-125350 là lỗ hổng đang bị khai thác ngoài thực tế. Các lỗ hổng nguy hiểm cao còn lại bao gồm tài nguyên WebGL chưa được khởi tạo, phân quyền FileSystem không đúng, tràn bộ đệm trình tổng hợp, ghi vượt giới hạn GPU và nhầm lẫn kiểu V8, phần lớn do nhóm an ninh nội bộ của Google phát hiện.
Google cũng xác nhận rằng phiên bản Chrome cho Android (157.0.8103.50) được phát hành cùng ngày chứa các bản vá bảo mật giống như phiên bản máy tính để bàn, không có ngoại lệ nào được nêu ra. Người dùng sử dụng kênh ổn định mở rộng (Extended Stable) nên cài đặt bản cập nhật được phát hành riêng vào ngày 9 tháng 11, với phiên bản Windows và Mac là 156.0.8078.96, bản cập nhật này cũng liệt kê CVE-2026-125350 là mục vá cấp cao.
Cùng ngày, Trung tâm Điều phối Sự cố An ninh Máy tính Chính phủ Hồng Kông (GovCERT.HK) đã phát cảnh báo an ninh, xác định các hệ thống bị ảnh hưởng là các phiên bản trước Chrome 157.0.8103.50, và chỉ ra rằng việc khai thác thành công lỗ hổng liên quan có thể dẫn đến thực thi mã từ xa, từ chối dịch vụ, thay đổi dữ liệu hoặc vượt qua các hạn chế bảo mật. Trung tâm Điều phối Sự cố An ninh Máy tính Hồng Kông (HKCERT) đã đánh giá mức độ rủi ro của bản cập nhật này ở cấp độ “rất cao”.
Google trong thông báo cho biết, việc truy cập vào chi tiết lỗ hổng và liên kết có thể vẫn bị hạn chế cho đến khi đa số người dùng hoàn tất cập nhật. Công ty khuyến nghị người dùng kiểm tra và kích hoạt cập nhật thủ công thông qua «Cài đặt → Về Chrome», sau khi cập nhật xong cần khởi động lại trình duyệt để patch có hiệu lực. Đối với những người dùng vẫn đang chạy phiên bản trước Chrome 157.0.8103.50, hành động ưu tiên hiện tại là xác minh số phiên bản và khởi động lại ngay lập tức để hoàn tất nâng cấp.