Google vá 18 lỗ hổng trên Chrome 149, nhiều lỗi có thể dẫn đến thực thi mã từ xa

Google vừa phát hành bản cập nhật bảo mật khẩn cấp cho trình duyệt Chrome 149 nhằm khắc phục 18 lỗ hổng bảo mật, trong đó có 4 lỗ hổng mức độ nghiêm trọng và 14 lỗ hổng mức độ cao. Một số lỗ hổng có thể bị khai thác để thực thi mã tùy ý trên hệ thống của nạn nhân.
​

Google đã phát hành Chrome phiên bản 149.0.7827.196/197 cho người dùng Windows và macOS, đồng thời cung cấp phiên bản 149.0.7827.196 dành cho Linux. Đáng chú ý nhất trong đợt vá lỗi lần này là hai lỗ hổng Use-After-Free (UAF) trong thành phần WebGL, được định danh là CVE-2026-13028 và CVE-2026-13032. Trong đó, CVE-2026-13028 được một nhà nghiên cứu ẩn danh báo cáo vào ngày 7/6/2026, còn CVE-2026-13032 được đội ngũ Google phát hiện nội bộ vào ngày 13/6.

Use-After-Free là dạng lỗi bộ nhớ xảy ra khi chương trình tiếp tục truy cập đến vùng nhớ đã được giải phóng. Kẻ tấn công có thể lợi dụng tình trạng này để kiểm soát luồng thực thi, ghi đè dữ liệu hoặc thực thi mã độc trên thiết bị mục tiêu.

Bên cạnh đó, Google cũng khắc phục CVE-2026-13033, một lỗ hổng Out-of-Bounds Read trong thành phần InterestGroups của Blink, cùng với CVE-2026-13038 – lỗi Use-After-Free khác ảnh hưởng đến hệ thống Autofill. Cả hai lỗ hổng đều được phát hiện nội bộ trong khoảng thời gian từ ngày 13 đến 14/6/2026 và được đánh giá ở mức nghiêm trọng.

Ngoài bốn lỗ hổng nghiêm trọng, bản cập nhật còn xử lý 14 lỗ hổng mức độ cao trải rộng trên nhiều thành phần quan trọng của trình duyệt như GPU, Navigation, DevTools, Digital Credentials, FileSystem, Web Authentication, Passwords, Bluetooth, Blink và WebView. Trong số này có nhiều lỗi Use-After-Free, lỗi sử dụng bộ nhớ chưa khởi tạo, lỗi xác thực đầu vào không đầy đủ và lỗi triển khai không phù hợp.

Các chuyên gia nhận định việc xuất hiện đồng thời nhiều lỗi Use-After-Free trong các thành phần cốt lõi như WebGL, Autofill, Bluetooth, Blink và WebView cho thấy bề mặt tấn công của trình duyệt vẫn rất rộng. Nếu bị khai thác thành công, các lỗ hổng này có thể tạo điều kiện cho tin tặc leo thang đặc quyền, vượt qua các cơ chế bảo vệ của trình duyệt hoặc thực hiện tấn công thực thi mã từ xa.

Theo Google, thông tin kỹ thuật liên quan đến các lỗ hổng sẽ được giữ kín trong giai đoạn đầu triển khai bản vá. Cách tiếp cận này giúp giảm nguy cơ các tác nhân đe dọa nhanh chóng phát triển công cụ khai thác nhằm vào những hệ thống chưa kịp cập nhật.

Theo hãng công nghệ này, nhiều lỗ hổng trong đợt phát hành lần này được phát hiện nhờ hệ thống kiểm thử bảo mật tự động và các công cụ phân tích bộ nhớ như AddressSanitizer, MemorySanitizer và libFuzzer.

Google khuyến nghị người dùng cá nhân cũng như quản trị viên doanh nghiệp nhanh chóng cập nhật Chrome lên phiên bản mới nhất để giảm thiểu nguy cơ bị tấn công. Người dùng có thể kiểm tra và cài đặt bản cập nhật bằng cách truy cập Settings → Help → About Google Chrome và khởi động lại trình duyệt khi được yêu cầu.​