Bản cập nhật Chrome 148 khắc phục 151 lỗ hổng bảo mật, bao gồm nhiều lỗi nghiêm trọng

Google tuần này đã phát hành bản cập nhật mới cho trình duyệt Chrome phiên bản 148, giải quyết tổng cộng 151 lỗ hổng bảo mật, bao gồm 22 lỗi có mức độ nghiêm trọng cao.

Minh họa bảo mật Chrome

Dựa trên các khoản tiền thưởng lỗi (bug bounty), hai lỗi nghiêm trọng nhất được khắc phục là CVE-2026-9872 (lỗi ghi vượt giới hạn trong GPU) và CVE-2026-9873 (lỗi use-after-free trong Network). Các nhà nghiên cứu phát hiện ra hai lỗi này đã nhận được phần thưởng 43.000 USD cho mỗi lỗi.

Ba lỗi bảo mật nghiêm trọng khác cũng được các nhà nghiên cứu bên ngoài báo cáo, bao gồm CVE-2026-9874 (use-after-free trong Dawn), CVE-2026-9875 (đọc vượt giới hạn trong WebGL) và CVE-2026-9876 (use-after-free trong WebGL).

Đa số các lỗ hổng nghiêm trọng được vá trong bản cập nhật Chrome lần này là lỗi "use-after-free". Đây là loại vấn đề an toàn bộ nhớ có thể cho phép kẻ tấn công thực thi mã từ xa (remote code execution), thoát khỏi sandbox bảo mật của Chrome và tiềm ẩn nguy cơ xâm phạm toàn bộ hệ thống.

Minh họa lỗ hổng bảo mật

Bản cập nhật cũng giải quyết 123 lỗ hổng mức độ cao và 6 lỗi mức độ trung bình. Các lỗi use-after-free chiếm tỷ lệ áp đảo, tiếp theo là các lỗi xác thực không đủ dữ liệu đầu vào không đáng tin cậy và các vấn đề vượt giới hạn bộ nhớ.

Gã khổng lồ internet cho biết họ đã trả hơn 130.000 USD tiền thưởng lỗi cho 10 lỗi bảo mật được các nhà nghiên cứu bên ngoài báo cáo. Con số cuối cùng có thể còn cao hơn, vì Google chưa công bố số tiền trả cho một số lỗ hổng khác.

Hầu hết các điểm yếu bảo mật được giải quyết trong bản cập nhật trình duyệt lần này đều do chính đội ngũ Google phát hiện ra, một xu hướng phổ biến trong các bản cập nhật Chrome gần đây.

Kể từ cuối tháng 3, số lượng lỗ hổng được khắc phục trong mỗi bản cập nhật đã tăng lên đáng kể, với hơn 350 vấn đề được giải quyết riêng trong chu kỳ Chrome 148, bao gồm cả bản cập nhật này.

Với việc hầu hết các lỗi được đánh dấu là "được báo cáo bởi Google", sự gia tăng trong việc phát hiện lỗ hổng có khả năng được thúc đẩy bởi việc sử dụng AI. Điều này cũng khiến công ty quyết định giảm tiền thưởng lỗi Chrome vào tháng trước.

Phiên bản Chrome mới nhất hiện đang được triển khai dưới dạng bản build 148.0.7778.216/217 cho Windows, 148.0.7778.215/216 cho macOS và 148.0.7778.215 cho Linux.