關(guān)鍵詞

漏洞

谷歌已正式將 Chrome 148 版本推廣至 Windows、Mac 和 Linux 的穩(wěn)定版渠道，Linux 版本號為 148.0.7778.96，Windows 和 Mac 版本號為 148.0.7778.96/97。這是該瀏覽器近期歷史上安全級別最高的版本之一，一次更新就包含了 127 項安全修復。

在已解決的 127 個漏洞中，有 3 個被評為“嚴重”，24 個被評為“高”，還有相當一部分屬于“中”和“低”類別。

谷歌向負責任地披露漏洞的外部研究人員發(fā)放了超過 10 萬美元的漏洞賞金，其中一名研究人員因報告V8 中一個高危越界讀寫漏洞而獲得了 5.5 萬美元的獎勵。

Chrome 瀏覽器嚴重漏洞已修復

三個被評為“嚴重”級別的漏洞風險最高。CVE-2026-7896 是 Blink 渲染引擎中的一個整數(shù)溢出漏洞，由外部研究人員于 3 月 18 日報告，并獲得了 43,000 美元的賞金。

CVE-2026-7897 和 CVE-2026-7898 都是釋放后使用漏洞，一個在移動組件中，一個在 Chrome 遠程桌面（Chrome Remote Desktop）中，這兩個漏洞分別于 4 月 18 日和 4 月 20 日由 Google 內(nèi)部報告。

釋放后使用漏洞尤其危險，因為它們可能允許攻擊者通過操縱已釋放的內(nèi)存區(qū)域來執(zhí)行任意代碼。

高危漏洞涵蓋了廣泛的攻擊面。CVE-2026-7899 是Chrome V8 JavaScript 引擎中的一個越界讀寫漏洞，由 Project WhatForLunch (@pjwhatforlunch) 報告，并獲得了此次更新中最高的個人獎勵 55,000 美元。

CVE-2026-7900 和 CVE-2026-7901 是ANGLE（圖形抽象層）中的堆緩沖區(qū)溢出和釋放后使用漏洞，每個漏洞的獎勵金額為 16,000 美元。

此外，KAIST黑客實驗室的JunYoung Park報告了V8中的越界內(nèi)存訪問漏洞CVE-2026-7902，并因此獲得了8000美元的獎勵。總而言之，這些V8和ANGLE漏洞對通過惡意構(gòu)造的網(wǎng)頁進行“路過式攻擊”構(gòu)成了重大風險。

除了頂級缺陷之外，Chrome 148 還解決了 SVG、DOM、全屏、GPU、WebRTC、Skia、密碼、ServiceWorker、PresentationAPI、WebAudio 等一系列釋放后使用漏洞。

中等嚴重性問題還包括 V8 中的對象生命周期問題 (CVE-2026-7936)、WebRTC 中的類型混淆 (CVE-2026-7988) 以及 DevTools、Extensions 和 DirectSockets 中的策略執(zhí)行不足。

值得注意的是，CVE-2026-8022 是 MHTML 中一個低嚴重性不當實現(xiàn)，它可能允許遠程攻擊者通過精心構(gòu)造的 MHTML 頁面泄露跨域數(shù)據(jù)，當用戶被誘騙執(zhí)行特定的 UI 手勢時，攻擊者可以利用該漏洞。

Google 對數(shù)十位獨立研究人員表示感謝，其中包括來自 KAIST 黑客實驗室、騰訊安全玄武實驗室、國立陽明交通大學安全與系統(tǒng)實驗室以及 Theori 的貢獻者。

根據(jù) Chrome 的公告，檢測到的漏洞是使用 AddressSanitizer、MemorySanitizer、UndefinedBehaviorSanitizer、libFuzzer 和 AFL 等自動化模糊測試和清理工具發(fā)現(xiàn)的，這凸顯了谷歌主動安全測試基礎(chǔ)設(shè)施的規(guī)模。

Windows、Mac 和 Linux 用戶應立即更新至 Chrome 148.0.7778.96/97 以修復這些漏洞。

下一個穩(wěn)定版本 Chrome 149 計劃于 2026 年 6 月 2 日發(fā)布。用戶可以通過“設(shè)置”→“幫助”→“關(guān)于 Google Chrome”進行更新，這將觸發(fā)自動下載和安裝。

安全圈

網(wǎng)羅圈內(nèi)熱點 專注網(wǎng)絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！