谷歌／官方：Chrome 修補 XML 使用後釋放漏洞 CVE-2026-125350——已知野外利用；穩定版升至 157.0.8103.50／.51

重點摘要

谷歌於二零二六年十一月九日在 Chrome 官方發布說明宣布，穩定版桌面頻道已更新至 Windows 及 Mac 的 157.0.8103.50／.51，以及 Linux 的 157.0.8103.50，共修補九項安全漏洞；其中高危的 CVE-2026-125350 為 XML 元件使用後釋放漏洞，由匿名人士於十一月六日回報，官方並寫明已知該漏洞的利用程式已在野外存在。來源真實性已驗證：一級來源為谷歌 Chrome Releases 同日〈Stable Channel Update for Desktop〉公告，並以同日 Android 與 Extended Stable 公告交叉核對版本號。

谷歌／官方：Chrome 修補 XML 使用後釋放漏洞 CVE-2026-125350——已知野外利用；穩定版升至 157.0.8103.50／.51

谷歌於二零二六年十一月九日在 Chrome 官方發布說明宣布，穩定版桌面頻道已更新至 Windows 及 Mac 的 157.0.8103.50／.51，以及 Linux 的 157.0.8103.50，共修補九項安全漏洞；其中高危的 CVE-2026-125350 為 XML 元件使用後釋放漏洞，由匿名人士於十一月六日回報，官方並寫明已知該漏洞的利用程式已在野外存在。來源真實性已驗證：一級來源為谷歌 Chrome Releases 同日〈Stable Channel Update for Desktop〉公告，並以同日 Android 與 Extended Stable 公告交叉核對版本號。

谷歌／官方：Chrome 修補 XML 使用後釋放漏洞 CVE-2026-125350——已知野外利用；穩定版升至 157.0.8103.50／.51

谷歌於二零二六年十一月九日（Chrome Releases 所載日期，署名 Srinivas Sista）發布穩定版桌面頻道更新，版本為 Windows 及 Mac 的 157.0.8103.50／.51，以及 Linux 的 157.0.8103.50，並註明將於未來數日或數週陸續推送。公告寫明此次更新包含九項安全修復，並列出七項高危與兩項中危漏洞；當中 CVE-2026-125350 標為高危、屬 XML 元件的使用後釋放（use after free），由匿名人士於二零二六年十一月六日回報。公告以原文寫道：Google is aware that an exploit for CVE-2026-125350 exists in the wild。本文只轉述官方已載明的版本號、漏洞分類與「已知野外利用」表述，不臆造攻擊規模、利用手法、受害數字，或官方尚未公開的錯誤細節。

一、核心事件：穩定版修補已知野外利用的 XML 漏洞

技術細節

官方桌面穩定版公告列出的九項修復如下。高危項目包括：CVE-2026-125345（WebGL 未初始化資源，谷歌於八月二十一日回報）、CVE-2026-125347（FileSystem 不正確授權，谷歌於九月十五日回報）、CVE-2026-125343（Compositing 緩衝區溢出，谷歌於九月十五日回報）、CVE-2026-125348（GPU 越界寫入，谷歌於九月十八日回報）、CVE-2026-125344（V8 類型混淆，谷歌於十月二日回報）、CVE-2026-125346（XML 使用後釋放，由 Arni Hardarson／Neonix Security 於十月十二日回報），以及 CVE-2026-125350（XML 使用後釋放，匿名人士於十一月六日回報）。中危項目為 CVE-2026-125349 與 CVE-2026-125342，均為 GPU 未初始化資源。官方只對 CVE-2026-125350 寫明已知野外存在利用程式；同一公告中的另一項 XML 使用後釋放漏洞 CVE-2026-125346，並未被寫成野外利用，兩者不可混為一談。

公告亦說明，在大多數用戶完成更新之前，錯誤詳情與相關連結可能維持限制；若漏洞位於其他專案同樣依賴、但尚未修復的第三方程式庫，限制亦可能繼續保留。換言之，現階段不宜把未公開的技術細節當成已證實的攻擊路徑。

同日，Chrome for Android 更新公告寫明，已發布 Chrome 157（157.0.8103.50），將於未來數日在 Google Play 提供；並稱 Android 版本包含與對應桌面版本相同的安全修復（Windows 及 Mac：157.0.8103.50／.51；Linux：157.0.8103.50），除非另有註明。該則 Android 公告未就 CVE-2026-125350 另作例外說明。同日 Extended Stable 桌面更新則把 Windows 及 Mac 升至 156.0.8078.96，公告寫明包含十一項安全修復，名單中包括 CVE-2026-125350。

二、技術原理深度解析

使用後釋放是指程式在某塊記憶體被釋放之後，仍然讀寫該位址。攻擊者若能控制釋放後的記憶體被重新占用的內容，以及隨後那一次失效存取的時機，便可能造成程式崩潰、記憶體損毀，或在部分情況下執行非預期程式碼。官方本次只把 CVE-2026-125350 歸類為 XML 元件的使用後釋放，並確認已知野外利用存在，但沒有描述利用是如何觸發、是否導致遠端程式碼執行，也沒有交代攻擊者身份或活動規模。因此，技術上應把「XML 解析或相關處理路徑出現使用後釋放」視為已確認的根因分類，把「利用程式已在野外」視為已確認的風險狀態，而不要把常見的使用後釋放後果，直接寫成此編號漏洞的已證實影響。

瀏覽器的 XML 處理出現在多個路徑，包括網頁內嵌資料、資訊來源格式，以及部分文件與擴充功能流程。正因為入口可以來自使用者並未主動「打開一份 XML 檔」的日常瀏覽，官方選擇在穩定版中儘快修復，並在大多數用戶完成更新前限制錯誤詳情，是為了降低尚未更新端點被對照利用的機會。對企業而言，關鍵不在於還原未公開的利用程式，而在於確認實際運行中的 Chrome 行程，已經是公告列明的已修復版本，而不是「更新器已下載、但舊行程仍在執行」。

四、日常應用場景

1. 開發者與技術團隊

開發、測試與持續整合環境若使用 Chrome 或無頭瀏覽器執行頁面測試、文件預覽或爬取，應把執行環境的瀏覽器版本對照官方列明的 157.0.8103.50／.51（Linux 為 157.0.8103.50），更新後重新啟動相關行程，避免測試機或打包機器人仍跑舊二進位檔。若產品內嵌 Chromium 內核，應另行追蹤對應專案的官方修復進度，而不能假定桌面 Chrome 的版本號已自動套用到內嵌內核。

2. 企業與隱私敏感行業

金融、醫療、法律與政府承辦商的共用工作站、遠端桌面與虛擬應用，往往長時間開著瀏覽器。管理層應以裝置管理政策或軟體資產清單，核對穩定版是否已到達公告版本，並要求用戶重新啟動瀏覽器以載入新二進位檔。使用 Extended Stable 頻道的機構，應改以官方列明的 156.0.8078.96（Windows 及 Mac）為目標版本。官方寫明更新會在未來數日或數週陸續推送，因此「公告當日尚未看到新版本」並不代表可以暫緩檢查；應以已安裝並正在運行的版本為準。

3. 一般用戶

個人電腦用戶應把 Chrome 更新至官方列明的穩定版，並重新啟動瀏覽器。Android 用戶可於未來數日在 Google Play 取得 157.0.8103.50，但仍應在裝置上確認實際版本。官方並未就攻擊手法或需要額外變更密碼發出指示；目前最直接的防護，是完成更新並重新啟動，而不是依據未經驗證的流傳步驟自行設定。

4. 香港與亞洲市場視角

Chrome 是香港企業、學校與公共機構常用的瀏覽器，亦常見於遠端辦公與雲端虛擬桌面。本港團隊應把此次更新納入例行補丁窗口，並在資產清單中同時記錄「已安裝版本」與「正在執行的版本」。其他以 Chromium 為核心的瀏覽器通常會跟進同類修復，但應以各廠商自己的官方更新說明為準，不宜把谷歌桌面穩定版的版本號直接套到尚未公布對應修復的產品上。對需要處理敏感客戶資料的行業，瀏覽器久未重啟與外掛、企業政策延遲推送，往往比「有沒有下載更新包」更容易造成暴露窗口。

五、專業評價與潛在考量

優勢

  • 一級來源為谷歌 Chrome Releases 官方公告，版本號、漏洞編號、嚴重程度分類與「已知野外利用」表述清楚，便於企業據此核對資產。
  • 桌面穩定版、Android 與 Extended Stable 同日更新，並寫明 Android 在未另作註明時包含對應桌面安全修復，減少跨平台版本對照的含糊。
  • 官方在大多數用戶完成更新前限制錯誤詳情，有助降低尚未修補端點被公開細節對照利用的風險。
  • 九項修復中同時涵蓋 V8、GPU、WebGL 與檔案系統等高風險元件，顯示這次並非只修單一編號。

需要留意的地方

  • 官方未描述 CVE-2026-125350 的具體利用方式、是否可遠端執行程式碼，以及攻擊是否針對特定網站或插件，不能把一般使用後釋放的可能後果寫成已證實影響。
  • 更新「將於未來數日或數週陸續推送」，公告日並不等於所有裝置已經修好；未重新啟動的瀏覽器行程仍可能運行舊版本。
  • 錯誤詳情可能暫時受限，第三方安全媒體的額外詮釋（例如年度零日次數統計或攻擊歸因）並非此次官方公告的內容，本文不予轉述為事實。
  • 官方桌面公告並未列出 Chrome for iOS 的對應版本，亦未為其他 Chromium 瀏覽器公布時程，相關產品須另查其廠商說明。

結語

十一月九日的 Chrome 穩定版更新，把一個已確認存在野外利用程式的 XML 使用後釋放漏洞 CVE-2026-125350，連同另外八項安全修復一併送進 157.0.8103.50／.51（Linux 為 157.0.8103.50），並同步為 Android 與 Extended Stable 提供對應版本。對香港的企業與個人用戶，眼前最務實的一步是核對正在運行的瀏覽器版本，更新後重新啟動，而不是等待更多未公開的利用細節。若機構需要在本港加強終端、雲端與網絡邊界的補丁與存取管控，可參考 YSK Limited 的雲端遷移與網絡安全服務（官網刊 99.99% SLA，https://ysk.hk/services/cloud-security）。

參考來源

延伸閱讀 · 相關服務與產品

相關文章