快更新 Chrome！最新零日漏洞遭利用，Google 修補 9 個漏洞

據 Google Chrome Releases，Google 美國時間 11 月 9 日發布 Chrome 桌面版穩定版更新，修補 9 個安全漏洞，其中 XML 元件的 CVE-2026-125350 已遭實際利用。Windows 與 Mac 版升到 157.0.8103.50/.51，Linux 版升到 157.0.8103.50。
（前情提要：CZ 轉發 Windows 小畫家漏洞警告：系統級漏洞要立即更新）
（背景補充：蘋果封鎖 eMudhra 後仍有漏洞：git、curl 仍可能信任遭外洩憑證）

美國時間 11 月 9 日，Google 發布 Chrome 桌面版穩定版更新，一次修補 9 個安全漏洞。其中 XML 元件的 CVE-2026-125350 已遭實際利用。Google 在公告中寫明，已知悉這個漏洞的利用程式存在於實際環境中（in the wild）。公告發布時間是太平洋時間 9 日中午 12 點 52 分，即台灣時間 10 日清晨 4 點 52 分。

這次更新把 Windows 與 Mac 版升到 157.0.8103.50/.51，Linux 版升到 157.0.8103.50。Google 表示，新版會在未來幾天到幾週內分批推送，使用者收到更新的時間會有先後。

Google 同日稍晚也推出 Android 版 Chrome 157.0.8103.50，預計未來幾天上架 Google Play。公告寫明，除非另有說明，Android 版的安全修補與對應的桌面版相同。

零日漏洞出在 XML 元件

CVE-2026-125350 屬於 XML 元件的「釋放後使用」（use-after-free）漏洞。這類錯誤是程式在一塊記憶體釋放之後，還繼續使用它。Google 把它評為高危（High），回報者標示為匿名，回報日期是 11 月 6 日。依公告日期推算，從回報到 11 月 9 日釋出修補，相隔 3 天。

Google 沒有公布攻擊方式與受害範圍，也沒有說明攻擊者身分。公告表示，漏洞細節與連結可能會限制存取，直到多數使用者完成更新。如果漏洞出在其他專案也在用、但還沒修好的第三方函式庫，限制也會繼續保留。

9 個漏洞有 6 個由 Google 自己回報

9 個漏洞中有 7 個高危、2 個中危。同樣出在 XML 元件的 CVE-2026-125346 也是釋放後使用漏洞，由 Neonix Security 的 Arni Hardarson 在 10 月 12 日回報。兩個 XML 漏洞之中，Google 只把 CVE-2026-125350 標示為已遭利用。

其餘 5 個高危漏洞都由 Google 回報。包括 WebGL 未初始化資源、FileSystem 授權不當、Compositing 緩衝區溢位、GPU 越界寫入，以及 V8 型別混淆（type confusion）。緩衝區溢位是寫入的資料超出預留空間，越界寫入則是寫到配置範圍以外的記憶體。V8 是 Chrome 執行 JavaScript 的引擎。

2 個中危漏洞都是 GPU 未初始化資源，一個由 Google 回報，另一個由研究人員 Vo Duc Thang（ugvxb）回報。公告中 9 個漏洞的獎金欄都標示為 N/A（不適用）或 TBD（待定），沒有公布金額。

延伸穩定版同步修補，香港列極高度風險

Windows 與 Mac 的延伸穩定版（Extended Stable）同日也更新到 156.0.8078.96。這次延伸穩定版修補 11 個安全漏洞，其中 10 個高危、1 個中危，CVE-2026-125350 也在清單內。

香港政府電腦保安事故協調中心（GovCERT.HK）11 月 10 日發出保安警報。警報指出，受影響的是 Chrome 157.0.8103.50 之前的版本。成功利用這些漏洞，可能導致遠端執行程式碼、阻斷服務（DoS）、篡改或繞過安全限制。

GovCERT.HK 建議使用者透過自動更新，或到「About Google Chrome」頁面手動更新，並提醒重新啟動 Chrome 後更新才會生效。香港電腦保安事故協調中心（HKCERT）同日把這批漏洞評為「極高度風險」，理由是 CVE-2026-125350 正被廣泛利用。

截至發稿，美國國家漏洞資料庫（NVD）與 CVE.org 還沒有這個編號的公開紀錄。美國網路安全暨基礎設施安全局（CISA）的已知遭利用漏洞目錄（KEV）也尚未收錄。

📍相關報導📍

PHP、Node.js 連爆嚴重漏洞：最近上網要注意這 5 件事自保

Linux 伺服器十年老漏洞曝光：密碼亂打一長串就能登入，修補已推出

Android 收到「隱形死機簡訊」直接斷線，12、13 版不在修補範圍