Chrome 曝出高危 0day 漏洞：已遭黑客实际利用，Google 紧急发布更新｜CVE-2026-125350
内容提要
谷歌Chrome浏览器存在高危释放后使用（UAF）漏洞CVE-2026-125350（评分8.8），位于XML组件，用户访问恶意网页即可触发，攻击者可在沙箱内执行任意代码。谷歌于11月9日发布修复更新，确认漏洞已被实际利用，CISA已将其列入已知遭利用漏洞目录。Windows、macOS、Linux、Android用户应更新至157.0.8103.50/51并重启浏览器，Edge、Brave等Chromium内核浏览器也需更新。
延伸解读
漏洞利用的边界：沙箱内执行不等于系统沦陷
文章明确指出，攻击者利用该漏洞后只能在 Chrome 沙箱内部执行任意代码，若要进一步获取系统权限，通常还需结合其他漏洞或攻击手段。这意味着单靠此漏洞，攻击者难以直接完全控制设备，但沙箱内的代码执行仍可能窃取浏览器数据或作为进一步攻击的跳板。读者应理解其实际危害范围，既不必过度恐慌，也不可轻视更新。
更新后必须重启，否则修复不生效
Google 发布的修复版本为 157.0.8103.50/.51（Windows、macOS、Linux、Android），Extended Stable 通道为 156.0.8078.96。文章特别提醒，更新后需要重启浏览器才能让补丁生效。许多用户习惯长期不关浏览器，残留大量标签页，但若不重启，浏览器可能仍在运行旧版本，漏洞依然存在。因此，完成更新后务必彻底关闭并重新打开浏览器。
Chromium 内核浏览器同样暴露，需手动检查更新
由于 Microsoft Edge、Brave、Vivaldi、Opera 等浏览器均基于 Chromium 开发，它们也可能受到该漏洞影响。文章建议这些浏览器的用户手动检查并正常更新。与 Chrome 自动更新不同，部分第三方浏览器更新推送可能滞后，用户不应假设已自动修复，而应主动查看版本号并安装可用更新，以降低风险。
Q&A
CVE-2026-125350 是什么漏洞？危险吗？
CVE-2026-125350 是 Chrome 浏览器 XML 组件中的一个释放后使用（UAF）高危漏洞，CVSS 3.1 评分为 8.8 分。攻击者可通过恶意网页触发内存错误，在 Chrome 沙箱内执行任意代码，且该漏洞已被实际利用。
黑客是如何利用这个 Chrome 漏洞的？
攻击者制作特殊的 HTML 恶意网页，诱导用户访问，触发 Chrome 的 XML 组件中的释放后使用错误，从而在浏览器沙箱内部执行任意代码。若要进一步获取系统权限，通常还需结合其他漏洞或攻击手段。
谷歌和 CISA 对这个漏洞采取了什么行动？
Google 已于 11 月 9 日发布安全更新修复该漏洞，并确认漏洞已遭实际利用。美国 CISA 随后将其列入“已知遭利用漏洞目录”（KEV），建议用户尽快更新。
我的 Chrome 应该更新到哪个版本？更新后要做什么？
Windows、macOS、Linux 和 Android 用户应更新至 157.0.8103.50 或 157.0.8103.51；Windows/macOS 扩展稳定版用户更新至 156.0.8078.96。更新后需要重启浏览器才能生效。
除了 Chrome，还有哪些浏览器受这个漏洞影响？
由于 Microsoft Edge、Brave、Vivaldi、Opera 等浏览器同样基于 Chromium 开发，因此也需要关注该漏洞，建议手动检查并正常更新。
这个漏洞目前有公开的攻击细节吗？
Google 尚未公开完整的攻击细节，包括攻击者身份、受害者数量以及是否存在配合使用的其他漏洞。出于安全考虑，Chromium 相关漏洞细节可能会暂时限制访问，避免在用户更新前被更多攻击者利用。
