CERT-In cảnh báo người dùng Chrome khi Google khắc phục 37 lỗ hổng bảo mật, trong đó có bảy lỗ hổng nghiêm trọng

Người dùng máy tính để bàn được khuyến nghị cài đặt các bản vá bảo mật Chrome

Đội Ứng cứu Khẩn cấp Máy tính Ấn Độ (CERT-In) ngày 14 tháng 10 năm 2026 đã cảnh báo về các lỗ hổng trong Google Chrome có thể cho phép kẻ tấn công chạy mã độc, lấy cắp thông tin nhạy cảm hoặc làm gián đoạn các máy tính bị ảnh hưởng. Một ngày trước đó, Google đã phát hành bản vá cho 37 lỗ hổng bảo mật, trong đó có bảy lỗ hổng được xếp loại nghiêm trọng.

Các phiên bản bị ảnh hưởng là Chrome cũ hơn 155.0.8059.79 trên Linux và 155.0.8059.79/.80 trên Windows và macOS. Người dùng nên mở trang Giới thiệu về Chrome, kiểm tra bản cập nhật và khởi động lại trình duyệt khi được nhắc để hoàn tất cài đặt.

Thông báo phát hành cho máy tính để bàn của Google, đề ngày 13 tháng 10, liệt kê bảy lỗ hổng nghiêm trọng, 29 lỗ hổng mức độ cao và một lỗ hổng mức độ trung bình. Các điểm yếu ảnh hưởng đến nhiều thành phần, từ đồ họa, tài liệu, mạng, mật khẩu cho đến phần mềm thực thi các chỉ thị của trang web.

Google cho biết quá trình phân phối có thể mất vài ngày hoặc vài tuần. Vì vậy, người kiểm tra ngay có thể cần kiểm tra lại khi bản phát hành được triển khai đến nhiều máy tính hơn.

Những phiên bản nào cần cập nhật?

Cảnh báo của CERT-In áp dụng cho Chrome trên máy tính để bàn chạy Windows, macOS và Linux. Trung tâm Điều phối Đội Ứng cứu Khẩn cấp Máy tính Hồng Kông (HKCERT) liệt kê cùng các phiên bản bị ảnh hưởng và khuyến nghị cài đặt bản vá của nhà cung cấp.

• Linux: cài đặt Chrome 155.0.8059.79 trở lên.
• Windows: cài đặt Chrome 155.0.8059.79/.80 trở lên.
• macOS: cài đặt Chrome 155.0.8059.79/.80 trở lên.

Số phiên bản rất quan trọng vì các bản vá được phân phối thông qua cập nhật trình duyệt. Máy tính vẫn có thể mở trang web bình thường dù đang chạy phiên bản chứa những điểm yếu này. Với các hộ gia đình, việc cần làm ngay là kiểm tra từng máy tính. Với các tổ chức, cần xác định máy nào đã nhận bản phát hành và hoàn tất việc khởi động lại theo yêu cầu.

Có thể xem phiên bản Chrome trong mục Trợ giúp, rồi chọn Giới thiệu về Google Chrome, từ trình đơn mở bằng dấu ba chấm ở góc trên bên phải trình duyệt. Trang này cũng kiểm tra xem có bản cập nhật hay không.

Bảy lỗ hổng nghiêm trọng ảnh hưởng đến các chức năng cốt lõi của trình duyệt

Google xác định CVE-2026-110152 là lỗi tràn bộ đệm nghiêm trọng trong ANGLE, một thành phần đồ họa được Chrome sử dụng. Bộ đệm là vùng bộ nhớ được dành riêng để lưu dữ liệu. Lỗi tràn xảy ra khi phần mềm ghi dữ liệu vượt quá ranh giới vùng này, có khả năng làm hỏng dữ liệu lân cận hoặc cho phép kẻ tấn công can thiệp vào cách chương trình hoạt động.

Theo thông báo phát hành của Google, Zhenpeng (Leo) Lin tại depthfirst đã báo cáo lỗ hổng ANGLE vào ngày 30 tháng 9. Hậu quả có thể bao gồm sự cố treo và thực thi mã độc.

Sáu lỗ hổng nghiêm trọng còn lại đều là lỗi sử dụng bộ nhớ sau khi giải phóng. Chúng ảnh hưởng đến các thành phần Browser, PDF, Network, Core, SVG và Media, hỗ trợ nhiều chức năng từ xử lý tài liệu, đồ họa đến giao tiếp qua mạng.

Lỗi sử dụng bộ nhớ sau khi giải phóng xảy ra khi phần mềm tiếp tục dùng một vùng nhớ sau khi đã giải phóng vùng đó. Có thể hình dung chương trình vẫn coi một vị trí lưu trữ cũ chứa dữ liệu của mình, dù vùng nhớ ấy có thể đã được dùng cho mục đích khác. Kẻ tấn công có thể tác động đến dữ liệu mới được ghi vào đó, gây gián đoạn hoặc chuyển hướng hoạt động của chương trình.

Google liệt kê sáu mã lỗ hổng nghiêm trọng là CVE-2026-110149, CVE-2026-110136, CVE-2026-110161, CVE-2026-110165, CVE-2026-110148 và CVE-2026-110151. Cộng với lỗi ANGLE, chúng chiếm bảy trong số 37 bản vá, tức khoảng một phần năm.

Điều gì có thể xảy ra trên máy tính bị ảnh hưởng?

CERT-In cảnh báo việc khai thác có thể dẫn đến thực thi mã tùy ý, làm lộ thông tin nhạy cảm hoặc tấn công từ chối dịch vụ. Nói đơn giản, những hậu quả này tương ứng với việc chạy các chỉ thị do kẻ tấn công lựa chọn, làm lộ dữ liệu riêng tư hoặc khiến phần mềm ngừng hoạt động bình thường.

Bản tin bảo mật Chrome của HKCERT, cũng đề ngày 14 tháng 10, nêu thêm hai tác động có thể xảy ra: leo thang đặc quyền và vượt qua các hạn chế bảo mật. Tác động thứ nhất là giành được quyền cao hơn mức thông thường; tác động thứ hai là lách một quy tắc bảo vệ.

HKCERT xếp bản tin ở mức Rủi ro trung bình, trong khi danh sách của Google xếp riêng bảy lỗ hổng ở mức nghiêm trọng. Hai đánh giá áp dụng phạm vi khác nhau: HKCERT xếp hạng toàn bộ bản tin, còn Google phân loại từng lỗ hổng riêng. HKCERT khuyến nghị cài đặt các bản vá.

Bản tin của HKCERT liệt kê các mã từ CVE-2026-110136 đến CVE-2026-110172, bao gồm đủ 37 mã định danh. Mã CVE là nhãn tham chiếu giúp nhà sản xuất phần mềm và quản trị viên theo dõi cùng một vấn đề bảo mật qua các thông báo và bản cập nhật.

Mật khẩu, JavaScript và tài liệu cũng bị ảnh hưởng

Trong số 29 bản vá mức độ cao của Google có các vấn đề trong V8, bộ máy JavaScript của Chrome. JavaScript cung cấp các chỉ thị giúp nhiều trang web có tính tương tác. Điểm yếu trong bộ máy này có thể phát sinh khi trình duyệt xử lý các chỉ thị đó.

Các mục liên quan đến V8 gồm lỗi nhầm lẫn kiểu dữ liệu CVE-2026-110140 và hai lỗi sử dụng bộ nhớ sau khi giải phóng CVE-2026-110168, CVE-2026-110169. Nhầm lẫn kiểu dữ liệu xảy ra khi phần mềm xử lý dữ liệu như thể chúng thuộc một loại khác, có thể dẫn đến các thao tác bộ nhớ không an toàn.

Thành phần Passwords của Chrome có ba lỗ hổng mức độ cao: một lỗi rò rỉ thông tin và hai lỗi sử dụng bộ nhớ sau khi giải phóng. Các bản vá khác liên quan đến Extensions, WebRTC, DOM, Canvas và PDFium. Những thành phần này hỗ trợ tiện ích mở rộng, giao tiếp của trình duyệt, cấu trúc trang web, đồ họa và xử lý PDF.

Google cũng liệt kê các điểm yếu liên quan đến quyền trong ReadingMode, Installer, Updater và Mojo. Chẳng hạn, lỗi xác thực quyền liên quan đến việc chương trình có kiểm tra chính xác một hành động được phép hay không. Lỗ hổng mức độ trung bình duy nhất là lỗi sử dụng bộ nhớ sau khi giải phóng trong FileSystem, có mã CVE-2026-110142.

Phạm vi rộng của danh sách cho thấy bản cập nhật quan trọng với nhiều hoạt động duyệt web, chứ không chỉ một thao tác cụ thể. Chrome xử lý văn bản, mã lệnh, đồ họa, tài liệu và dữ liệu mạng; bản phát hành này khắc phục điểm yếu trong một số quy trình xử lý đó.

Ai đã báo cáo các lỗ hổng?

Theo thông tin ghi nhận của Google, Xinyang Ge thuộc Anthropic đã báo cáo lỗ hổng V8 mức độ cao CVE-2026-110169 vào ngày 28 tháng 9, với sự hỗ trợ của Claude. Thông báo nêu tên nhà nghiên cứu, tổ chức và sự hỗ trợ liên quan, nhưng không mô tả thêm vai trò của Claude.

Google cũng ghi nhận Xinyang Ge là người phát hiện nhiều vấn đề khác, trong đó có các lỗ hổng nghiêm trọng ở PDF, SVG và Media. Google tự báo cáo các lỗi nghiêm trọng trong Browser, Network và Core. Những người đóng góp khác được nêu tên gồm Hoyong Jin, M. Fauzan Wijaya, Aria Akhavan, Souma Ohsawa và Andrew Boni.

Các ngày công bố cho thấy bản phát hành tập hợp những phát hiện được ghi nhận trong nhiều tháng. Danh sách của Google bao gồm một lỗ hổng trong Bindings được báo cáo ngày 25 tháng 3 và các lỗ hổng gần đây hơn trong Media được báo cáo ngày 6 tháng 10. Tất cả được khắc phục cùng trong bản phát hành ổn định này.

Vì sao một số chi tiết kỹ thuật vẫn bị hạn chế truy cập?

Google cho biết quyền truy cập vào một số hồ sơ lỗi có thể tiếp tục bị hạn chế trong lúc người dùng nhận bản cập nhật. Srinivas Sista, người công bố thông báo phát hành cho Google Chrome, giải thích chính sách công bố thông tin của công ty:

Quyền truy cập vào chi tiết lỗi và các liên kết có thể tiếp tục bị hạn chế cho đến khi phần lớn người dùng được cập nhật bản vá.

Google cũng cho biết các hạn chế có thể được duy trì nếu lỗ hổng ảnh hưởng đến một thư viện được những dự án khác sử dụng nhưng chưa được khắc phục. Thư viện là một phần mềm có thể tái sử dụng, vì vậy cùng một lỗi nền tảng có thể đòi hỏi nhiều nhóm phát triển xử lý.

Thông báo phát hành nêu tên các thành phần bị ảnh hưởng và loại lỗi, đồng thời hạn chế truy cập vào một số hồ sơ kỹ thuật chi tiết hơn. Với người dùng, thông tin thiết thực là phiên bản đã có bản vá. Với quản trị viên, các mã định danh giúp đối chiếu bản phát hành với hệ thống theo dõi lỗ hổng và danh mục phần mềm.

Từ báo cáo nghiên cứu đến cảnh báo công khai

Các mốc thời gian chính cho thấy những phát hiện riêng lẻ đã trở thành bản cập nhật trình duyệt rồi dẫn đến các cảnh báo bảo mật công khai như thế nào:

• Ngày 28 tháng 9 năm 2026: Xinyang Ge thuộc Anthropic báo cáo CVE-2026-110169 trong V8, với sự hỗ trợ của Claude.
• Ngày 30 tháng 9: Zhenpeng (Leo) Lin tại depthfirst báo cáo lỗi tràn bộ đệm nghiêm trọng trong ANGLE.
• Từ ngày 1 đến 6 tháng 10: Google và các nhà nghiên cứu khác báo cáo thêm một số lỗ hổng nghiêm trọng và mức độ cao có trong bản phát hành.
• Ngày 13 tháng 10: Google công bố bản cập nhật Chrome ổn định gồm 37 bản vá bảo mật.
• Ngày 14 tháng 10: CERT-In đưa ra cảnh báo và HKCERT công bố bản tin về cùng 37 mã định danh.

Ngày phát hành của Google đánh dấu thời điểm bắt đầu phân phối. Quá trình triển khai được cho là mất vài ngày hoặc vài tuần, nghĩa là việc phân phối sẽ tiếp tục sau thông báo; do đó, nên kiểm tra lại những máy tính ban đầu chưa thấy bản cập nhật.

Cách hoàn tất cập nhật

Người dùng Chrome có thể bắt đầu từ màn hình cập nhật tích hợp trong trình duyệt. Các bước thực hiện như sau:

• Mở Chrome và chọn trình đơn dấu ba chấm ở góc trên bên phải.
• Chọn Trợ giúp, rồi chọn Giới thiệu về Google Chrome.
• Chờ Chrome kiểm tra và tải xuống bản cập nhật hiện có.
• Lưu mọi công việc còn dang dở và chọn Khởi chạy lại nếu được nhắc.
• Quay lại trang Giới thiệu để kiểm tra phiên bản đã cài đặt.

Khởi chạy lại rất quan trọng vì tải bản cập nhật xuống và chạy trình duyệt đã cập nhật là hai bước riêng biệt. Giữ nguyên phiên làm việc cũ của trình duyệt có thể làm chậm quá trình cài đặt hoàn tất.

Các tổ chức nên kiểm tra phiên bản đã cài trên máy tính để bàn, bao gồm cả những thiết bị mà người dùng hiếm khi đóng trình duyệt. Mục tiêu cụ thể là xác nhận máy đang chạy bản phát hành có các bản vá và đã hoàn tất mọi lần khởi động lại cần thiết.

Người dùng chưa thấy bản phát hành nên kiểm tra lại trong thời gian Google triển khai. Thông báo chính thức cho biết quá trình phân phối có thể mất vài ngày hoặc vài tuần, lâu hơn nhiều so với việc kỳ vọng mọi máy tính đều nhận được bản cập nhật ngay trong ngày công bố.

Người dùng Edge cũng cần theo dõi bản vá

Microsoft Edge sử dụng Chromium, nền tảng trình duyệt cũng được Chrome xây dựng trên đó. Vì vậy, một số lỗ hổng trong phần mềm dùng chung này có thể cũng cần được khắc phục trong Edge.

Trong thông báo đề ngày 13 tháng 10, Microsoft xác nhận các bản vá bảo mật Chromium mới nhất và cho biết đang phát triển bản cập nhật. Vào thời điểm có cảnh báo, bản cập nhật bảo mật tương ứng cho kênh ổn định vẫn chưa được phát hành và Microsoft chưa công bố ngày phát hành.

Người dùng Edge nên kiểm tra bản cập nhật của Microsoft khi có. Người dùng cả hai trình duyệt cần kiểm tra từng trình duyệt: Chrome nhận bản phát hành bảo mật từ Google, còn Edge nhận bản phát hành từ Microsoft.

Điểm chính

• Ngày 14 tháng 10 năm 2026, CERT-In cảnh báo người dùng Chrome trên máy tính để bàn về các lỗ hổng có thể làm lộ dữ liệu, gây gián đoạn phần mềm hoặc cho phép thực thi mã độc.
• Bản phát hành ngày 13 tháng 10 của Google khắc phục 37 lỗ hổng: bảy nghiêm trọng, 29 mức độ cao và một mức độ trung bình.
• Các phiên bản đã được vá là 155.0.8059.79 trên Linux và 155.0.8059.79/.80 trên Windows và macOS, hoặc các phiên bản mới hơn.
• Người dùng nên mở Trợ giúp, chọn Giới thiệu về Google Chrome, cài đặt bản cập nhật và khởi chạy lại khi được nhắc.
• Google cho biết quá trình phân phối có thể mất vài ngày hoặc vài tuần. Microsoft chưa công bố ngày phát hành bản cập nhật tương ứng cho Edge phiên bản ổn định.