Chrome 再傳零日漏洞遭實際利用：Google 緊急釋出 157.0.8103.50，修補 XML 釋放後使用等 9 項弱點

你的Chrome更新沒？不論你平常是用 Chrome 處理公司業務、登入網路銀行，還是只是單純瀏覽網頁，這次都務必先停下來確認一下你的瀏覽器版本。

Google 日前於官方 Chrome Releases 部落格發布了桌面版穩定版（Stable）更新，發布了 Windows 與 Mac 版更新 157.0.8103.50/.51、以及Linux 更新版 157.0.8103.50，一次修補 9 項安全漏洞。

其中編號 CVE-2026-125350 的 XML 漏洞，Google 在公告中明確表示「Google is aware that an exploit for CVE-2026-125350 exists in the wild.」，也就是已經有攻擊程式在外流傳並被實際利用，屬於典型的零日漏洞。由於更新會在接下來數天到數週內分批推出，加上 Chrome 必須重新啟動才會套用新版，所以現在立刻打開你的 Chrome 確認版本，會比等它自動更新可靠得多。

從回報到修補只花三天，XML 元件成為攻擊入口

CVE-2026-125350 被 Google 評為高風險，這個漏洞的類型是 XML 元件中的釋放後使用（Use-After-Free，UAF），此漏洞由一位匿名研究人員在 11 月 6 日回報，Google 於三天後就釋出修補，同時證實已有人利用該漏洞。

所謂的釋放後使用是瀏覽器最常見、也最常被武器化的記憶體安全問題之一，意思就是程式已經把某塊記憶體釋放，卻在之後又繼續存取同一個位址。攻擊者若能在這段空檔把自己控制的資料塞進那塊記憶體，就有機會能干擾程式的執行流程，進一步作為遠端執行程式碼的跳板。而 XML 解析是瀏覽器開啟網頁時會自動處理的工作，這類漏洞一般只要誘使使用者去瀏覽特製網頁就可能觸發，而且使用者幾乎無從察覺。

Google 沒有公開攻擊細節、攻擊者身分或受害對象，但有在公告中說明，錯誤細節與相關連結會先限制存取，直到多數使用者完成更新；若問題存在於其他專案同樣依賴、但尚未修補的第三方函式庫，限制也會持續保留。

根據 CyberInsider 的Google fixes Chrome XML zero-day flaw exploited in attacks 的報導，與這個漏洞錯誤編號連結的公開 Chromium 修補，指向用來以 XSLT 樣式表轉換 XML 文件的開源函式庫 libxslt，說明顯示問題是出在 libxslt 的樣式比對快取：巢狀的 XML 運算可能在前一個操作仍握有舊記憶體位址時，就把快取物件釋放並替換掉。

9 項修補一覽：7 項高風險、2 項中風險

從清單來看，9 項修補中有 7 項是 Google 內部發現，其中同樣屬於 XML 釋放後使用的 CVE-2026-125346 早在 10 月 12 日就已由外部研究人員回報，但 Google 只將 CVE-2026-125350 標記為已遭實際利用，至於兩者是否相關，目前官方並沒有說明。

Android 版與延伸穩定版同步修補

同一天，Google 也釋出 Android 版 Chrome 157.0.8103.50，將在接下來幾天陸續透過 Google Play 推出。官方說明 Android 版包含與對應桌面版相同的安全修補，除非另有註明，而這次公告沒有列出任何例外。

企業常用的延伸穩定版（Extended Stable）也在 11 月 9 日更新到 156.0.8078.96，適用 Windows 與 Mac，共修補 11 項漏洞（10 項高風險、1 項中風險），清單中同樣包含 CVE-2026-125350，以及穩定版這次一併修補的 CVE-2026-125345、CVE-2026-125346、CVE-2026-125347。延伸穩定版的公告只列出 CVE 編號與嚴重程度，沒有重複「已遭實際利用」的說明，但既然修補的是同一個漏洞，企業 IT 應以同等急迫性處理。

事件時間軸

日期（美國時間）	事件
2026/11/09	Google 釋出桌面穩定版 157.0.8103.50/.51、Android 版 157.0.8103.50、延伸穩定版 156.0.8078.96，並證實 CVE-2026-125350 已遭實際利用
2026/11/06	匿名研究人員向 Google 回報 CVE-2026-125350
2026/11/03	Chrome 157 正式升上桌面穩定版
2026/10/12	Neonix Security 研究人員回報另一個 XML 釋放後使用漏洞 CVE-2026-125346

今年第八起 Chrome 零日漏洞

根據 SOC Prime 的 CVE-2026-125350: Chrome XML Zero-Day Exploited in the Wild 一文，這已經是 2026 年已知第八個遭實際利用的 Chrome 零日漏洞，前面七個分別是 CVE-2026-2441、CVE-2026-3909、CVE-2026-3910、CVE-2026-5281、CVE-2026-11645、CVE-2026-85046 與 CVE-2026-87491。換算下來，平均一個多月就出現一次。

使用者該怎麼做：確認版本、重新啟動、別忘了手機

第一步，確認版本並重新啟動。 在網址列輸入 chrome://settings/help，或從右上角選單進入「說明」→「關於 Google Chrome」，Chrome 會自動檢查並下載更新。Windows 與 Mac 應為 157.0.8103.50 或 .51 以上，Linux 為 157.0.8103.50 以上。下載完成後務必按下「重新啟動」，否則仍在執行舊版本。

第二步，更新手機上的 Chrome。 Android 使用者請到 Google Play 搜尋 Chrome 並手動更新至 157.0.8103.50，不要只等自動更新。

第三步，企業環境同步處理延伸穩定版。 使用延伸穩定版的組織請確認端點已更新到 156.0.8078.96。IT 管理者可透過群組原則或 Chrome 企業管理政策中的 RelaunchNotification 與 RelaunchNotificationPeriod，設定使用者必須在期限內重新啟動瀏覽器，避免「已下載、未套用」的空窗。

第四步，其他 Chromium 瀏覽器也要留意。 Microsoft Edge、Brave、Opera、Vivaldi 等瀏覽器都以 Chromium 為核心，修補時程由各家廠商自行決定，請留意各自的安全公告並盡快更新。至於 Chromebook，根據 Chrome Geek 的 Chrome Zero-Day CVE-2026-125350: Update to 157.0.8103.50 一文，截至該文發布時，Google 尚未發布列出此漏洞修補的 ChromeOS 穩定版更新，使用者可持續關注系統更新。

CyberQ 觀點

這次 Google 的修補速度。從收到回報到釋出更新只花三天，反應已經算相當快，真正的問題在於修補「抵達」使用者的速度：官方更新是在數天到數週內分批推出，Chrome 又必須重新啟動才會套用新版，而許多人的習慣是瀏覽器一開就是好幾週。官方修補完成，不等於你的電腦已經安全，實際曝露的時間往往比公告日期長得多。

還有個值得關注的是第三方元件。若外界分析屬實，這次的問題根源在 libxslt 這類被大量軟體共用的開源函式庫，影響範圍就可能不只有 Chrome。Google 在公告中也預留了伏筆，若相同問題存在於其他專案依賴且尚未修補的第三方函式庫，細節會繼續保密。此問題對企業來說，資產盤點時不能只問有沒有裝 Chrome，還要清楚哪些系統與應用程式也內嵌了相同元件。

2026 年 Chrome 零日漏洞已經累積到第八個，而瀏覽器可說是員工接觸外部的第一線，應該被當成對外曝露的攻擊面來管理。

CyberQ 建議，個人使用者至少每週重新啟動一次瀏覽器，手機上的 Chrome 也別忘了一起更新；企業 IT 則應透過管理政策設定強制重新啟動期限，並將 Chromium 系列瀏覽器的版本狀態納入弱點管理流程。雖然修補已經公布，但真正能把門關上的，還是自己把門關上的那一刻。

本文首圖由 OpenAI 生成