Google紧急修复Chrome高危零日漏洞：CVE-2026-125350已遭在野利用

Google近日发布Chrome浏览器安全更新，修复了一项已遭攻击者在野利用的高危零日漏洞。该漏洞编号为 CVE-2026-125350，存在于Chrome的XML组件中，属于释放后使用（Use-After-Free，UAF）类型。

Google表示，目前已发现针对该漏洞的利用代码，但尚未披露攻击者身份、具体攻击方式及受影响用户规模。

CVE-2026-125350于2026年11月6日由一名匿名安全研究人员报告，Google于11月9日发布修复更新。

该漏洞位于Chrome浏览器的XML组件，根源是典型的释放后使用（Use-After-Free）内存安全问题。

这类漏洞通常发生在程序释放某块内存后，仍然继续访问该内存区域。当相关内存被重新分配或利用时，可能引发程序异常、内存破坏，严重情况下可能被攻击者利用执行恶意代码。

在浏览器攻击场景中，攻击者可能通过构造恶意网页诱导用户访问，利用漏洞实施攻击。

Google已确认，针对CVE-2026-125350的漏洞利用活动已经出现在实际攻击中。不过，目前官方尚未公开更多攻击细节，相关漏洞技术信息仍处于限制披露状态。

除此次已遭在野利用的零日漏洞外，Chrome此次更新还修复了另外8项安全问题。

根据Google公布的信息，本次共修复9项安全漏洞，其中7项被评定为高危，另外2项为中危。

主要漏洞如下：

其中，CVE-2026-125346同样属于XML组件的释放后使用漏洞，由Neonix Security的Arni Hardarson报告。

两项中危漏洞分别为CVE-2026-125342和CVE-2026-125349，均涉及GPU组件中的未初始化资源问题。

Google表示，大部分漏洞由其内部安全团队发现，部分问题由外部安全研究人员提交。待大多数用户完成更新后，官方将进一步开放完整漏洞跟踪信息。

针对上述漏洞，Google已通过稳定版渠道推送安全更新。

本次更新涉及的版本如下：

企业用户使用的 Extended Stable 渠道也获得了相应修复，更新版本为 156.0.8078.96。

此次安全更新采用分阶段推送机制，预计将在未来数天至数周内逐步覆盖用户。

Chrome通常会在后台自动下载更新，但需要重启浏览器才能完成更新安装。

用户可以按照以下步骤检查版本：

Linux用户可通过对应的软件包管理器完成更新。

此外，其他基于Chromium内核的浏览器也应关注各自厂商发布的安全公告及修复版本，并及时完成升级。

参考来源：Google Chrome Releases 官方安全更新公告