Cập nhật Google Chrome ngay bây giờ để khắc phục thêm hai lỗ hổng bảo mật zero-day
Nếu bạn đã cài đặt Google Chrome, hoặc một trình duyệt dựa trên Chromium như Microsoft Edge hoặc Vivaldi, hãy đảm bảo rằng bạn đã cài đặt bản cập nhật mới nhất. Google đã phát hành một bản cập nhật khắc phục hai lỗ hổng bảo mật đang bị lợi dụng để thực hiện các cuộc tấn công.
Google đang triển khai Chrome 146.0.7680.75/76 cho Windows và Mac, Chrome 146.0.7680.75 cho Linux, và Chrome 146.0.7680.115 cho Android. Những bản cập nhật này chứa các bản vá cho hai lỗ hổng bảo mật, được biết đến với tên CVE-2026-3909 và CVE-2026-3910. Chrome cho iPhone và iPad chưa được cập nhật, có khả năng vì chúng không bị ảnh hưởng—do các yêu cầu của ứng dụng của Apple, chúng không sử dụng cùng một công cụ kết xuất Blink giống như Chrome trên các nền tảng khác.
Lỗ hổng đầu tiên, CVE-2026-3909, cho phép “ghi ngoài giới hạn trong Skia trên Google Chrome […] cho phép một kẻ tấn công từ xa thực hiện truy cập bộ nhớ ngoài giới hạn thông qua một trang HTML được chế tạo.” Chi tiết kỹ thuật chính xác chưa được công bố, nhưng các lỗ hổng tràn bộ đệm như vậy thường có thể gây ra hư hỏng dữ liệu, sập chương trình, và tiềm ẩn việc chạy mã trên máy chủ.
Lỗ hổng thứ hai, CVE-2026-3910, "cho phép kẻ tấn công từ xa thực thi mã tùy ý bên trong một hộp cát thông qua một trang HTML được tạo riêng." Một lần nữa, không có chi tiết kỹ thuật cụ thể nào, nhưng bất kỳ việc thực thi mã tùy ý nào cũng không lý tưởng. Chúng ta biết rằng đây là một lỗi trong V8, engine JavaScript được sử dụng bởi tất cả các trình duyệt Chromium, cũng như các môi trường runtime như Node.js.
Đây là những lỗ hổng bảo mật zero-day, có nghĩa là chúng đã được tìm thấy trên các trang web, thay vì chỉ là các lỗi lý thuyết. Google cho biết trong bài đăng trên blog của mình, “Google nhận thức được rằng các khai thác cho cả CVE-2026-3909 & CVE-2026-3910 tồn tại ngoài thực tế.”
Google Chrome sẽ tự động cập nhật khi bản sửa lỗi có sẵn, giống như tất cả các bản cập nhật Chrome—chỉ cần cho phép trình duyệt khởi động lại khi nó yêu cầu. Bạn cũng có thể kiểm tra cập nhật thủ công trên các nền tảng máy tính để bàn bằng cách nhấp vào nút menu ở góc trên bên phải của thanh công cụ, và chọn Trợ giúp > Giới thiệu về Chrome. Nhập chrome://settings/help vào thanh địa chỉ sẽ đưa bạn đến trang đó. Trên các thiết bị Android, chỉ cần kiểm tra các bản cập nhật ứng dụng trong Play Store.
Microsoft Edge sẽ sớm được cập nhật với các thay đổi tương tự. Công ty cho biết trên trang cập nhật bảo mật của mình: “Microsoft nhận thức được các lỗ hổng khai thác gần đây tồn tại ngoài thực tế. Chúng tôi đang tích cực làm việc để phát hành một bản sửa lỗi bảo mật.”
Nguồn: Google (máy tính để bàn, Android) qua The Register, CVE (1, 2), Microsoft