Hàng loạt lỗ hổng nghiêm trọng được vá trên Chrome, người dùng cần cập nhật ngay

Một loạt lỗ hổng nghiêm trọng vừa được Google khắc phục trên Chrome, trong đó có nhiều lỗi có khả năng dẫn đến thực thi mã tùy ý. Với hơn 3 tỷ người dùng trên toàn cầu, bất kỳ lỗ hổng nào ảnh hưởng đến trình duyệt phổ biến nhất thế giới đều có thể tạo ra bề mặt tấn công khổng lồ cho các chiến dịch khai thác quy mô lớn.
​

Các bản vá được phát hành cho Chrome Stable phiên bản 149.0.7827.155/.156 trên Windows và macOS, cùng phiên bản 149.0.7827.155 trên Linux. Google cho biết quá trình triển khai sẽ được thực hiện theo từng giai đoạn trong những ngày và tuần tới.

Đáng chú ý, bản cập nhật lần này xử lý 7 lỗ hổng được đánh giá ở mức nghiêm trọng, chủ yếu liên quan đến các lỗi use-after-free trong nhiều thành phần cốt lõi của trình duyệt. Đây là nhóm lỗ hổng xảy ra khi một vùng nhớ đã được giải phóng nhưng vẫn tiếp tục bị truy cập, tạo điều kiện cho kẻ tấn công thao túng bộ nhớ và chiếm quyền điều khiển luồng thực thi.

Các lỗ hổng nghiêm trọng được vá gồm:​

Theo Google, các lỗ hổng này có thể bị khai thác từ xa thông qua những trang web được thiết kế đặc biệt nhằm kích hoạt các lỗi xử lý bộ nhớ bên trong trình duyệt. Điều đáng lo ngại là trong nhiều trường hợp, nạn nhân không cần tải xuống tệp hay cài đặt phần mềm nào. Chỉ cần truy cập vào một trang web độc hại hoặc bị cài cắm mã khai thác, quá trình tấn công có thể được kích hoạt ngay trong nền. Nếu khai thác thành công, tin tặc có thể thực thi mã tùy ý trên thiết bị của nạn nhân, mở đường cho các hoạt động đánh cắp dữ liệu, cài đặt phần mềm độc hại hoặc triển khai các chuỗi tấn công phức tạp hơn.

Không chỉ dừng lại ở các lỗi có khả năng dẫn đến thực thi mã từ xa, đợt cập nhật lần này còn khắc phục nhiều lỗ hổng mức độ cao nằm rải rác trong các thành phần quan trọng của Chrome như WebRTC, Extensions, Safe Browsing, GPU, Downloads, Media và File System Access. Những thành phần này đóng vai trò trực tiếp trong việc xử lý nội dung web, quản lý tệp tin, vận hành tiện ích mở rộng và thực thi các tác vụ đa phương tiện. Nếu bị khai thác kết hợp, các lỗ hổng có thể tạo điều kiện cho tin tặc đánh cắp dữ liệu, vượt qua một số cơ chế bảo vệ của trình duyệt hoặc xây dựng các chuỗi tấn công phức tạp hơn nhằm xâm nhập sâu vào hệ thống nạn nhân.

Một số lỗ hổng đáng chú ý được khắc phục trong đợt này bao gồm CVE-2026-12447 và CVE-2026-12466, hai lỗi tràn bộ đệm heap ảnh hưởng đến WebRTC. Google cũng vá các lỗi đọc dữ liệu ngoài phạm vi cho phép trong Chromoting và WebRTC, cùng nhiều lỗ hổng use-after-free xuất hiện ở các thành phần Extensions, Browser, Downloads và Media. Những lỗi này có thể dẫn đến rò rỉ thông tin, làm hỏng bộ nhớ hoặc trở thành mắt xích trong các chuỗi khai thác phức tạp khi được kết hợp với các lỗ hổng khác.

Ngoài ra, các nhà phát triển còn xử lý nhiều vấn đề liên quan đến xác thực dữ liệu đầu vào không đáng tin cậy, thực thi chính sách bảo mật không đầy đủ, lỗi giao diện bảo mật và các sai sót trong cơ chế kiểm soát quyền truy cập. Khi kết hợp với các kỹ thuật tấn công khác, những lỗ hổng này có thể dẫn đến rò rỉ dữ liệu, vượt qua cơ chế sandbox hoặc trở thành mắt xích trong các chuỗi khai thác phức tạp hơn.

Hiện Google vẫn hạn chế công bố chi tiết kỹ thuật đối với một số lỗ hổng nhằm giảm nguy cơ bị lợi dụng trước khi phần lớn người dùng hoàn tất việc cập nhật.

Trước số lượng lớn lỗ hổng liên quan đếnan toàn bộ nhớ và khả năng thực thi mã từ xa, giới chuyên gia khuyến nghị người dùng sớm cập nhật Chrome lên phiên bản mới nhất ngay khi bản vá được cung cấp. Trong môi trường doanh nghiệp, các nhóm quản trị cần ưu tiên rà soát những thiết bị chưa được cập nhật, bởi trình duyệt web vẫn là một trong những điểm tiếp xúc phổ biến nhất giữa người dùng và các cuộc tấn công từ Internet. Việc chậm triển khai bản vá có thể tạo cơ hội cho tin tặc tận dụng các lỗ hổng đã được công khai để phát động các chiến dịch khai thác trên diện rộng.
​