敦促桌面用户安装 Chrome 安全修复
印度计算机应急响应小组（CERT-In）于2026年10月14日发布警告称，Google Chrome 存在漏洞，攻击者可能利用这些漏洞运行恶意代码、获取敏感信息或干扰受影响的计算机。Google 于前一天发布了修复程序，修复37个安全漏洞，其中7个被评为严重。
目录
受影响的版本是 Linux 上早于 155.0.8059.79 的 Chrome，以及 Windows 和 macOS 上早于 155.0.8059.79/.80 的版本。用户应打开 Chrome 的“关于”页面，检查是否有更新，并在系统提示时重新启动浏览器，以完成安装。
Google 于10月13日发布的桌面版更新公告列出了7个严重漏洞、29个高危漏洞和1个中危漏洞。这些弱点涉及图形、文档、网络、密码以及运行网站指令的软件。
Google 表示，更新分发可能需要数天或数周。因此，立即检查的用户可能还需要在更新推送到更多计算机后再次检查。
哪些版本需要更新？
CERT-In 的警告涵盖 Windows、macOS 和 Linux 上的桌面版 Chrome。香港电脑保安事故协调中心（HKCERT）列出了相同的受影响版本，并建议安装供应商发布的修复程序。
- Linux：安装 Chrome 155.0.8059.79 或更高版本。
- Windows：安装 Chrome 155.0.8059.79/.80 或更高版本。
- macOS：安装 Chrome 155.0.8059.79/.80 或更高版本。
版本号很重要，因为修复程序通过浏览器更新提供。即使计算机仍能正常打开网站，运行的版本也可能包含这些弱点。对家庭用户来说，当务之急是检查每台计算机。对组织而言，则需要确认哪些设备已收到更新并完成所需的重新启动。
在浏览器右上角的三点菜单中，依次选择“帮助”和“关于 Google Chrome”，即可查看 Chrome 版本。该页面也会检查是否有可用更新。
七个严重漏洞影响浏览器核心功能
Google 将 CVE-2026-110152 列为 ANGLE 中的严重缓冲区溢出漏洞。ANGLE 是 Chrome 使用的图形组件。缓冲区是预留用于存放数据的一段内存。当软件写入的数据超出该区域边界时，就会发生溢出，可能损坏附近的数据，或让攻击者干扰程序的运行方式。
根据 Google 的更新公告，depthfirst 的 Zhenpeng（Leo）Lin 于9月30日报告了 ANGLE 漏洞。该漏洞可能导致程序崩溃或恶意代码执行。
另外六个严重漏洞均为释放后使用错误，分别影响 Browser、PDF、Network、Core、SVG 和 Media 组件。这些组件涉及从处理文档和图形到网络通信等各类功能。
释放后使用错误是指软件在释放一块内存后仍继续使用它。可以把它想象成程序把某个旧存储位置当作内容仍归它所有，尽管该空间可能已经被用于存放其他内容。攻击者可能影响替换进去的内容，从而干扰或重定向程序。
Google 列出的六个严重漏洞编号为 CVE-2026-110149、CVE-2026-110136、CVE-2026-110161、CVE-2026-110165、CVE-2026-110148 和 CVE-2026-110151。加上 ANGLE 漏洞，共占37项修复中的7项，约为五分之一。
受影响的计算机可能面临什么后果？
CERT-In 警告称，漏洞利用可能导致任意代码执行、敏感信息泄露或拒绝服务。通俗地说，这些后果意味着攻击者可以运行自行选择的指令、获取私人数据，或使软件无法正常工作。
HKCERT 于10月14日发布的Chrome 安全公告还列出了另外两种可能影响：权限提升和绕过安全限制。前者是指获得通常情况下不具备的权限；后者则是指绕过防护规则。
HKCERT 将该公告的风险级别评为中等，而 Google 将其中7个单独漏洞评为严重。两项评估的范围不同：HKCERT 对整份公告进行评级，Google 则分别标注每个漏洞。HKCERT 建议采取的措施是安装修复程序。
HKCERT 的公告列出了从 CVE-2026-110136 到 CVE-2026-110172 的编号序列，涵盖全部37个漏洞编号。CVE 编号是用于标识漏洞的参考标签，帮助软件厂商和管理员在不同公告和更新中追踪同一个安全问题。
密码、JavaScript 和文档也受到影响
Google 修复的29个高危漏洞中，包括 Chrome 的 JavaScript 引擎 V8 中的问题。JavaScript 提供指令，让许多网站具备交互功能。浏览器处理这些指令时，引擎中的弱点可能被触发。
V8 相关漏洞包括一个类型混淆漏洞 CVE-2026-110140，以及两个释放后使用漏洞 CVE-2026-110168 和 CVE-2026-110169。类型混淆是指软件把一段数据当成另一种类型处理，这可能导致不安全的内存操作。
Chrome 的 Passwords 组件有三个高危漏洞：一个信息泄露漏洞和两个释放后使用错误。其他修复涉及 Extensions、WebRTC、DOM、Canvas 和 PDFium。这些组件分别支持扩展程序、浏览器通信、网页结构、绘图和 PDF 处理。
Google 还列出了 ReadingMode、Installer、Updater 和 Mojo 中与权限相关的弱点。例如，授权错误涉及程序是否正确检查某项操作是否获准。唯一的中危漏洞是 FileSystem 中的释放后使用漏洞，编号为 CVE-2026-110142。
漏洞清单涉及面广，说明此次更新并非只与某一类浏览活动有关。Chrome 会处理文本、脚本、图形、文档和网络数据，而此次更新修复了其中多个处理环节的弱点。
漏洞由谁报告？
根据 Google 的致谢信息，Anthropic 的 Xinyang Ge 于9月28日报告了高危 V8 漏洞 CVE-2026-110169，并获得 Claude 协助。公告列出了研究人员、所属机构及协助情况，但未进一步说明 Claude 发挥了什么作用。
Google 还将包括 PDF、SVG 和 Media 中多个严重漏洞在内的其他发现归功于 Xinyang Ge。Browser、Network 和 Core 中的严重错误则由 Google 自行报告。其他具名贡献者包括 Hoyong Jin、M. Fauzan Wijaya、Aria Akhavan、Souma Ohsawa 和 Andrew Boni。
披露日期显示，此次更新汇集了数月来发现的问题。Google 的清单包括一项于3月25日报告的 Bindings 漏洞，以及10月6日报告的较新 Media 漏洞。这些问题一并通过此次稳定版更新修复。
部分技术细节为何仍受限制
Google 表示，在用户收到更新期间，部分漏洞记录的访问可能仍会受到限制。代表 Google Chrome 发布更新公告的 Srinivas Sista 解释了公司的披露政策：
在大多数用户安装包含修复程序的更新之前，漏洞详情和链接可能会继续受到限制。
Google 还表示，如果漏洞影响到其他尚未修复该问题的项目所使用的库，相关限制可能会继续。库是可重复使用的软件，因此同一个底层错误可能需要多个开发团队共同处理。
更新公告列出了受影响的组件和错误类型，同时限制访问部分更深入的技术记录。对用户而言，实用的信息是包含修复程序的版本。对管理员而言，漏洞编号有助于将此次更新与漏洞追踪记录和软件清单进行核对。
从研究报告到公开警告
关键日期勾勒出各项发现如何促成浏览器更新，并最终引发公开安全警告：
- 2026年9月28日：Anthropic 的 Xinyang Ge 在 Claude 协助下报告了 V8 中的 CVE-2026-110169。
- 9月30日：depthfirst 的 Zhenpeng（Leo）Lin 报告了 ANGLE 严重缓冲区溢出漏洞。
- 10月1日至6日：Google 和其他研究人员报告了此次更新收录的多项严重及高危漏洞。
- 10月13日：Google 宣布推出包含37项安全修复的 Chrome 稳定版更新。
- 10月14日：CERT-In 发布警告，HKCERT 也发布了涵盖相同37个漏洞编号的公告。
Google 公布的更新日期标志着更新开始分发。由于官方表示推送可能需要数天或数周，更新会在公告发布后继续推送；对于最初未显示可用更新的计算机，之后再次检查会有所帮助。
如何完成更新
Chrome 用户可以通过浏览器内置的更新页面开始操作。步骤如下：
- 打开 Chrome，点击右上角的三点菜单。
- 依次选择“帮助”和“关于 Google Chrome”。
- 等待 Chrome 检查并下载可用更新。
- 保存未完成的工作，并在系统提示时选择“重新启动”。
- 返回“关于”页面，检查已安装的版本。
重新启动很重要，因为下载更新和运行更新后的浏览器是两个独立步骤。继续保持旧的浏览器会话开启，可能会延迟安装完成。
组织应检查所有桌面计算机上的已安装版本，包括用户很少关闭浏览器的设备。具体目标是确认设备运行的是包含修复程序的版本，并已完成任何必要的重启。
如果用户暂时还看不到更新，应在 Google 推送期间再次检查。官方更新公告称，分发可能需要数天或数周，因此不应预期所有计算机都会在公告发布当天收到更新。
Edge 用户也应留意修复程序
Microsoft Edge 使用 Chromium，也就是 Chrome 所基于的浏览器平台。因此，共享软件中的部分漏洞也可能需要通过 Edge 更新修复。
Microsoft 在10月13日发布的公告中确认了最新的 Chromium 安全修复，并表示正在准备更新。截至警告发布时，相应的稳定版安全更新尚未推出，Microsoft 也未公布发布日期。
Edge 用户应在 Microsoft 发布更新后进行检查。使用两种浏览器的用户需要分别检查：Chrome 通过 Google 获取安全更新，Edge 则通过 Microsoft 获取。
要点
- CERT-In 于2026年10月14日警告桌面版 Chrome 用户，相关漏洞可能导致数据泄露、软件中断或恶意代码执行。
- Google 于10月13日发布的更新修复37个漏洞：7个严重、29个高危、1个中危。
- 修复后的版本为 Linux 上的 155.0.8059.79，以及 Windows 和 macOS 上的 155.0.8059.79/.80，或更高版本。
- 用户应依次打开“帮助”和“关于 Google Chrome”，安装更新，并在系统提示时重新启动浏览器。
- Google 表示，更新分发可能需要数天或数周。Microsoft 尚未公布相应 Edge 稳定版更新的发布日期。
