Chrome phát hành bản vá khổng lồ cho 429 lỗ hổng, người dùng cần cập nhật ngay

[WhiteHat Team]

Google vừa phát hành bản cập nhật bảo mật Chrome 149.0.7827.53 cho Windows, macOS, Linux và iOS, khắc phục tổng cộng 429 lỗ hổng bảo mật, trong đó có 22 lỗ hổng được đánh giá ở mức nghiêm trọng. Đây được xem là một trong những đợt vá lỗi lớn nhất của trình duyệt Chrome trong nhiều năm trở lại đây.
​

Theo Google, các lỗ hổng ảnh hưởng đến nhiều thành phần cốt lõi của trình duyệt như công cụ xử lý đồ họa ANGLE, GPU, Network Stack, hệ thống xử lý đa phương tiện, Password Manager, WebRTC, DevTools, WebView và Chrome trên nền tảng iOS. Để hạn chế nguy cơ bị khai thác trước khi người dùng kịp cập nhật, hãng hiện chưa công bố chi tiết kỹ thuật và mã khai thác của phần lớn các lỗ hổng.

Trong số các lỗi nghiêm trọng được vá lần này, đáng chú ý là hàng loạt lỗi truy cập bộ nhớ ngoài phạm vi trong thành phần ANGLE và GPU, bao gồm CVE-2026-10881, CVE-2026-10883, CVE-2026-10892 và CVE-2026-10897. Google cũng xử lý CVE-2026-10898, một lỗi tràn bộ đệm ngăn xếp trong GPU có thể tạo điều kiện cho kẻ tấn công thực thi mã tùy ý trên hệ thống mục tiêu.

Bên cạnh đó, nhiều lỗ hổng Use-After-Free được phát hiện trong các thành phần như Network, Chromecast, Cast Streaming, Chromoting, FileSystem, GFX, Ozone, Printing, Password Manager và Chrome for iOS. Đây là nhóm lỗi đặc biệt nguy hiểm vì thường được tin tặc tận dụng để xây dựng chuỗi khai thác dẫn tới thực thi mã từ xa, vượt cơ chế sandbox hoặc leo thang đặc quyền.

Các chuyên gia cảnh báo rằng nhiều lỗ hổng trong bản vá lần này tồn tại trong các thành phần xử lý nội dung web. Tin tặc có thể khai thác các lỗi này thông qua những website độc hại, khiến người dùng chưa cập nhật Chrome trở thành mục tiêu tấn công chỉ sau một lần truy cập.

Ngoài nhóm lỗ hổng nghiêm trọng, Google còn khắc phục số lượng lớn lỗi mức độ cao liên quan đến Type Confusion trong công cụ JavaScript V8, lỗi Use-After-Free trong WebRTC, Audio, UI, WebAuthentication và FileSystem, cùng nhiều lỗi tràn số nguyên trong Dawn, Media, DevTools và V8. Các lỗ hổng này có thể đóng vai trò là mắt xích quan trọng trong các chuỗi tấn công phức tạp nhằm duy trì quyền truy cập hoặc di chuyển ngang bên trong mạng doanh nghiệp sau khi xâm nhập thành công.

Hàng trăm lỗ hổng mức độ trung bình và thấp khác cũng đã được vá, bao gồm các vấn đề liên quan đến xác thực dữ liệu đầu vào không đầy đủ, bỏ qua chính sách bảo mật, sử dụng bộ nhớ chưa khởi tạo, lỗi giao diện bảo mật và các sai sót trong cơ chế thực thi chính sách doanh nghiệp. Mặc dù mức độ ảnh hưởng riêng lẻ không cao, những lỗi này vẫn có thể bị kết hợp với các lỗ hổng nghiêm trọng hơn để tạo thành chuỗi tấn công hoàn chỉnh.

Google cho biết nhiều lỗ hổng được phát hiện nhờ sự đóng góp của cộng đồng nghiên cứu bảo mật cùng các công cụ kiểm thử tự động như AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer và AFL. Việc một bản phát hành phải xử lý tới 429 lỗ hổng tiếp tục cho thấy áp lực ngày càng lớn đối với công tác bảo mật trình duyệt, vốn đang là tuyến phòng thủ đầu tiên trước các mối đe dọa trên Internet.

Các tổ chức đang sử dụng Chrome nên sớm triển khai bản cập nhật trên toàn bộ thiết bị, đồng thời theo dõi các dấu hiệu khai thác liên quan đến những CVE này khi Google công bố thêm thông tin kỹ thuật trong thời gian tới.​