新闻详情

新闻详情

首页 / 资讯中心 / 详情

谷歌紧急推送Chrome 149版本:V8引擎零日漏洞已遭野外利用,74项安全修复全面落地

发布时间:2026/10/23 12:27:07来源:尧图网络
谷歌紧急推送Chrome 149版本:V8引擎零日漏洞已遭野外利用,74项安全修复全面落地
浏览器安全防线再度告急。谷歌于近日向全平台紧急推送了Chrome稳定版更新Windows与Mac用户将收到149.0.7827.102/.103版本Linux端则同步升级至149.0.7827.102。这次补丁并非例行维护而是针对一个已被确认在野外遭到恶意利用的高危零日漏洞所做出的紧急响应。整包更新累计修复了74个安全缺陷其中17个被评定为严重级别波及范围几乎覆盖了Chrome的每一个核心子系统。2026年开年至今Chrome的零日漏洞修复节奏明显加快。安全团队已经确认并封堵了五个正在被积极利用的漏洞攻击者显然在持续寻找突破浏览器沙箱的捷径。从二月中旬的CVE-2026-2441开始CSSFontFeatureValuesMap组件中的迭代器失效问题率先被利用进入三月Skia 2D图形库的越界写入漏洞CVE-2026-3909与V8引擎的实施不当缺陷CVE-2026-3910几乎同时爆发三月下旬Dawn WebGPU实现中的释放后使用漏洞CVE-2026-5281又给了攻击者新的机会。而这一次CVE-2026-11645的出现将今年的Chrome零日漏洞总数推到了五个危险等级再度攀升。CVE-2026-11645是本次更新中最值得警惕的缺陷。它扎根于Chrome的V8 JavaScript引擎属于高危越界内存访问漏洞。V8引擎的特殊性在于用户访问的每一个网页都会经过它的解析与执行这意味着攻击者只需要诱导受害者打开一个看似正常的恶意页面就能触达这一漏洞。成功利用后攻击者可以破坏浏览器内存、窃取敏感数据甚至与其他漏洞串联实现远程代码执行。这个漏洞由外部安全研究员303f06e3在2026年4月27日独立发现并上报。谷歌安全团队评估后给出了55000美元的漏洞赏金足以反映其潜在的破坏力。谷歌在官方公告中措辞明确已确认CVE-2026-11645存在野外利用实例。对于普通用户而言这句话背后的含义是攻击者已经在实际行动中使用了这一漏洞留给用户缓冲的时间窗口正在收窄。从技术层面拆解V8引擎中的越界内存访问之所以被安全界长期视为头号威胁核心原因在于渲染进程的权限边界。攻击者一旦在渲染层注入并执行任意代码再借助额外的提权漏洞便有可能完成沙箱逃逸最终获得对目标系统的完整控制权。这种利用链条虽然需要多个步骤但在高级持续性威胁中并不罕见。此次149版本的安全修复规模远超单一漏洞补丁。74项修复中释放后使用缺陷占据了绝大多数这类内存损坏问题历来是浏览器安全领域最难根治的顽疾。受影响的具体模块横跨Ozone、Aura、Views等底层渲染与UI框架也触及蓝牙与游戏手柄等硬件接口层TabStrip、自动填充、Web应用、打印、合成及代理等功能组件同样未能幸免。libyuv库中还修复了一个整数溢出漏洞CVE-2026-11640。高危漏洞清单进一步拉长。V8引擎另有两项缺陷CVE-2026-11649与CVE-2026-11650被标记为高危WebRTC、PDF、ServiceWorker、扩展程序、网络协议栈及GPU子系统分别存在CVE-2026-11667、CVE-2026-11670、CVE-2026-11656/11694、CVE-2026-11652/11653、CVE-2026-11651/11677以及CVE-2026-11672等多个漏洞。绑定层的类型混淆问题CVE-2026-11662和SVG对象生命周期缺陷CVE-2026-11688也值得关注这两类漏洞在真实的浏览器利用链中常常充当关键的串联节点。如此密集的漏洞披露节奏反映出谷歌内部在2026年4月下旬至5月下旬期间进行了一次覆盖面极广的安全审计。从底层图形库到上层扩展接口从网络通信到硬件交互几乎没有任何组件被放过。对于终端用户来说等待自动更新可能意味着暴露在风险中的时间被不必要地延长。谷歌已经说明149版本的推送将在未来几天到几周内逐步完成但鉴于CVE-2026-11645的野外利用状态已被实锤手动立即更新是更稳妥的选择。操作路径并不复杂。打开Chrome后点击右上角的三点菜单进入帮助选项下的关于Google Chrome页面浏览器会自动检测并下载最新补丁。更新完成后重启浏览器即可生效。整个过程通常只需要几分钟却能将系统从已知的活跃攻击路径中隔离出来。企业环境的管理员尤其需要提高优先级。在受管终端上集中推送149.0.7827.102或149.0.7827.103版本应当被纳入本周内的紧急运维任务。批量部署不仅能降低单点失陷的风险也能避免后续因漏洞利用导致的潜在数据泄露或横向移动事件。浏览器作为用户与互联网之间的默认通道其安全基线的每一次波动都直接影响着数以十亿计的终端。当零日漏洞从理论风险转变为野外实证更新的紧迫性就不再是建议而是必要动作。149版本的发布是谷歌对当前威胁态势的一次集中回应而用户端是否及时跟进将决定这道防线能否真正闭合。
网站建设高端定制企业官网
RELATED

相关资讯

更多精彩内容,欢迎继续阅读

较早相关资讯

最新相关资讯

【外设】之大彩串口显示屏 2026/10/23 14:14:50

【外设】之大彩串口显示屏

大彩串口屏初步使用 1 .官网下载 STM32 屏幕 GUI 设计资料 http://www.gz-dc.com/category/typeid/4112 找到 STM32 Keil 工程,移植相关代码因项目而异进行移植,由于项目简单,本人只对用到的指令接口进行修改。 比如:注意事项&…

阅读更多 →
无法下载Windows系统iso文件 2026/10/23 14:14:34

无法下载Windows系统iso文件

当我遇到这个问题的时候,我打开了一个网站: 登录 然后我打算下载的时候: 突然那个官方的连接就可以下载了:

阅读更多 →
【清华代码熊】DeepSeek V4.1 Flash 后训练详解 2026/10/23 14:11:44

【清华代码熊】DeepSeek V4.1 Flash 后训练详解

📌 上期解析了 DeepSeek V4.1 Flash 模型架构改进,本期解析 DeepSeek V4.1 Flash 预训练/后训练技术: 🌟 预训练:45T 文本 多模态混合语料、直接训练 sparse attention(取消 DeepSeek V4 的 dense 冷启动&…

阅读更多 →
Shuffle-R1: Efficient RL framework for Multimodal Large Language Models via Data-centric Dynamic ... 2026/10/24 4:32:58

Shuffle-R1: Efficient RL framework for Multimodal Large Language Models via Data-centric Dynamic ...

文章主要内容和创新点 主要内容 本文聚焦于多模态大语言模型(MLLM)强化学习(RL)训练中的效率问题,提出了一个名为Shuffle-R1的框架。研究发现,当前RL训练存在两个关键缺陷: 优势值坍缩(Advantage Collapsing):批次中大多数优势值集中在零附近,导致有效梯度信号被淹…

阅读更多 →
PRvL: Quantifying the Capabilities and Risks of Large Language Models for PII Redaction 2026/10/23 14:10:55

PRvL: Quantifying the Capabilities and Risks of Large Language Models for PII Redaction

一、文章主要内容总结 本文聚焦于利用大型语言模型(LLMs)实现个人身份信息(PII)脱敏的研究,旨在解决传统脱敏方法(如基于规则的系统、领域特定命名实体识别(NER)模型)泛化能力差、跨格式/跨语境适应性弱的问题。 研究通过全面评估多种LLM架构(包括密集型LLM(D-LLM…

阅读更多 →
LLaVA-RE: Binary Image-Text Relevancy Evaluation with Multimodal Large Language Model 2026/10/23 14:14:34

LLaVA-RE: Binary Image-Text Relevancy Evaluation with Multimodal Large Language Model

文章主要内容和创新点 主要内容 本文聚焦于二进制图像-文本相关性评估任务(判断图像与文本“相关”或“不相关”),针对该任务中文本格式多样、相关性定义随场景变化等挑战,提出了基于多模态大语言模型(MLLM)的解决方案LLaVA-RE。 模型设计:LLaVA-RE基于LLaVA 1.5架构,…

阅读更多 →

今日资讯

本周资讯

本月资讯

看完文章仍有疑问?

联系尧图顾问,获取一对一建站咨询

立即免费咨询 📞 400-888-8888
📞 ✉