Chrome vá lỗ hổng zero-day thứ 8 trong năm 2026

Google vừa phát hành bản vá cho lỗ hổng zero-day (lỗ hổng chưa có bản vá ở thời điểm bị phát hiện) thứ tám của trình duyệt Chrome trong năm 2026, đưa tổng số lỗ hổng bị khai thác ngoài thực tế của năm nay ngang bằng con số của cả năm 2025, dù lịch còn gần hai tháng nữa mới hết năm.

Lỗ hổng nằm ở thành phần XML

Lỗ hổng mới nhất được theo dõi với mã CVE-2026-125350, là một lỗi use-after-free (sử dụng bộ nhớ sau khi đã giải phóng) mức độ nghiêm trọng cao trong thành phần xử lý XML của Chrome.

Trong thông báo bảo mật công bố hôm thứ Hai, Google xác nhận tin tặc đã khai thác lỗ hổng này, nhưng không cho biết ai đứng sau các cuộc tấn công cũng như đối tượng mục tiêu. Hãng chỉ nói ngắn gọn: "Google biết rằng tồn tại một bản khai thác cho CVE-2026-125350 ngoài thực tế."

Lỗi use-after-free xảy ra khi phần mềm vẫn tiếp tục sử dụng một con trỏ trỏ tới vùng bộ nhớ đã được giải phóng. Đây là dạng lỗi quản lý bộ nhớ có thể cho phép kẻ tấn công làm hỏng dữ liệu trong bộ nhớ và chạy mã độc, dù Google chưa tiết lộ cách khai thác cụ thể lỗ hổng này.

Lỗ hổng được báo cáo ẩn danh vào ngày 6 tháng 11. Google giữ kín các chi tiết kỹ thuật thêm cho tới khi đủ người dùng đã cài bản vá — cách làm quen thuộc nhằm ngăn các nhóm tấn công khác tiếp cận một bản khai thác đang hoạt động.

Phạm vi bản vá

Bản vá có mặt trong Chrome 157.0.8103.50/.51 cho Windows và macOS, và 157.0.8103.50 cho Linux.

Bản cập nhật này còn xử lý tám lỗ hổng bảo mật khác, trong đó có các lỗi mức độ nghiêm trọng cao ảnh hưởng tới WebGL, FileSystem, GPU, Compositing và engine JavaScript V8. Một trong số đó là CVE-2026-125346, cũng là lỗi use-after-free trong thành phần XML, được Arni Hardarson của Neonix Security báo cáo hồi tháng 10 — Google chưa cho biết lỗ hổng thứ hai này có bị khai thác hay không.

Danh sách zero-day ngày càng dài

Con số tám lỗ hổng zero-day trong năm nay không xuất hiện một lúc. Đến tháng 6, Google đã vá năm lỗ hổng zero-day bị khai thác thực tế, gồm các lỗi trong engine V8, thư viện đồ họa Skia và cách hiện thực WebGPU (giao diện lập trình đồ họa chạy trên GPU của trình duyệt). Danh sách tiếp tục dài thêm với hai lỗi V8 được vá vào tháng 9, và lỗ hổng XML mới nhất nâng tổng số lên tám.

Như vậy năm 2026 đã ngang bằng năm 2025, khi Google cũng vá tám lỗ hổng zero-day của Chrome bị khai thác ngoài thực tế. Liệu hãng có thể đi hết những tuần còn lại của năm mà không phát sinh thêm lỗ hổng nào hay không thì chưa ai dám chắc.

Google cho biết bản cập nhật sẽ được phát hành dần trong những ngày và tuần tới, nhưng người dùng có thể kiểm tra thủ công bằng cách vào menu Cài đặt của Chrome và chọn mục About Chrome. Khi lỗ hổng đã bị khai thác thực tế, nên làm việc này sớm thay vì chờ Chrome tự cập nhật.

Góc nhìn

Với các lập trình viên và doanh nghiệp Việt Nam, bài học lớn nhất ở đây không phải là một lỗ hổng cụ thể mà là nhịp độ vá lỗi. Việc Google phải vá tám lỗ hổng bị khai thác thực tế chỉ trong hơn mười tháng cho thấy mô hình "cài đặt rồi quên" với trình duyệt không còn phù hợp: các lỗi bộ nhớ trong những thành phần phổ biến như XML hay engine JavaScript vẫn là mục tiêu quen thuộc của tin tặc.

Thực tế này đặt ra yêu cầu quản lý phiên bản nghiêm túc hơn, đặc biệt ở những nơi Chrome chạy trong môi trường có kiểm soát — máy trạm nhân viên, hệ thống dùng giao diện web nội bộ, hay các thiết bị ki-ốt. Việc chủ động kiểm tra phiên bản định kỳ và có quy trình cập nhật nhanh, thay vì chờ người dùng tự bấm cập nhật, giúp giảm khoảng thời gian hệ thống phơi ra trước một lỗ hổng đã bị khai thác ngoài thực tế.