Chrome và Firefox phát hành bản cập nhật vá hơn 200 lỗ hổng bảo mật

Google và Mozilla vừa đồng loạt phát hành bản cập nhật mới cho hai trình duyệt phổ biến nhất thế giới, khắc phục tổng cộng hơn 200 lỗ hổng bảo mật. Đây là động thái cho thấy áp lực ngày càng lớn trong việc duy trì an toàn cho các ứng dụng mà hàng tỷ người dùng truy cập mỗi ngày.

Trình duyệt Chrome và Firefox

Chrome 156: 52 lỗ hổng, 4 lỗi nghiêm trọng

Bản cập nhật Chrome 156 mang đến bản vá cho 52 lỗ hổng bảo mật, trong đó có bốn lỗi ở mức nghiêm trọng (critical): lỗi hỏng bộ nhớ (memory corruption) trong FileSystem, lỗi kiểm tra dữ liệu đầu vào không đúng trong FileAPI và Skia, cùng lỗi use-after-free trong Layout.

Đáng chú ý nhất là CVE-2026-118306 – lỗi trong FileSystem có thể cho phép kẻ tấn công thực thi mã tùy ý bên ngoài vùng cách ly (sandbox) thông qua một trang HTML được thiết kế đặc biệt. Đây là dạng lỗ hổng nguy hiểm, có thể bị khai thác để chiếm quyền điều khiển thiết bị của người dùng.

Ngoài ra, Google cũng vá 46 lỗi mức cao (high), phần lớn thuộc các nhóm hỏng bộ nhớ, kiểm tra dữ liệu đầu vào không đúng và use-after-free. Đáng chú ý, Google cho biết chưa xác định được mức thưởng bug bounty nào cho các nhà nghiên cứu báo cáo lỗi, và 39 lỗ hổng còn lại sẽ không được trả thưởng – phần lớn được phát hiện nội bộ hoặc nhờ sự hỗ trợ của trí tuệ nhân tạo (AI).

Bản cập nhật hiện đang được phát hành dần tới người dùng với phiên bản 156.0.8078.73/.74 cho Windows và macOS, và phiên bản 156.0.8078.73 cho Linux.

Biểu tượng bảo mật

Firefox 159: "Cơn bão" 167 lỗ hổng

Trong khi đó, Mozilla công bố phát hành Firefox 159 với bản vá cho 167 lỗ hổng bảo mật, trong đó có tới 108 lỗi mức cao. Con số này cao hơn đáng kể so với Chrome, phản ánh khối lượng công việc bảo mật lớn mà Mozilla đang phải xử lý.

Phần lớn các bản vá giải quyết lỗi use-after-free trong trình duyệt. Bên cạnh đó, Mozilla cũng khắc phục nhiều lỗi liên quan đến thoát khỏi sandbox (sandbox escape), leo thang đặc quyền (privilege escalation), kiểm tra ranh giới sai (incorrect boundary) và vượt qua chính sách same-origin.

Cùng ngày, Mozilla còn phát hành Thunderbird 159 và 153.6, cùng các phiên bản Firefox ESR 153.6 và 115.44 với bản vá cho nhiều lỗ hổng tương tự. Điều này đặc biệt quan trọng với các tổ chức vẫn đang dùng phiên bản ESR (Extended Support Release) cho môi trường doanh nghiệp.

Cả Google và Mozilla đều không đề cập đến việc bất kỳ lỗ hổng nào trong số này đang bị khai thác ngoài thực tế. Tuy nhiên, người dùng vẫn được khuyến cáo cập nhật trình duyệt càng sớm càng tốt.

Người dùng Việt Nam cần làm gì?

Với người dùng tại Việt Nam – nơi Chrome và Firefox chiếm phần lớn thị phần trình duyệt – việc cập nhật lên phiên bản mới nhất là biện pháp phòng vệ đơn giản và hiệu quả nhất. Bạn có thể kiểm tra phiên bản qua mục Cài đặt → Giới thiệu trên Chrome hoặc Trợ giúp → Giới thiệu Firefox, và trình duyệt sẽ tự động tải bản cập nhật nếu có.

Ngoài ra, các doanh nghiệp và tổ chức tại Việt Nam sử dụng Firefox ESR cho hệ thống nội bộ nên ưu tiên nâng cấp lên ESR 153.6 hoặc 115.44 để đảm bảo không bỏ sót các bản vá quan trọng. Việc chủ động cập nhật định kỳ giúp giảm đáng kể rủi ro trước các cuộc tấn công khai thác lỗ hổng đã biết.

Logo SecurityWeek