谷歌Chrome浏览器更新修复37个安全漏洞，含7个高危严重漏洞

原创

网络安全9527
网络安全9527

安全圈的那点事儿

2026年10月14日 18:13
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

谷歌面向Windows、macOS以及Linux系统发布Chrome 155版本，修复了37个安全漏洞，其中包含7个严重级别漏洞。

此次桌面端更新于2026年10月13日对外公布，修复了浏览器多个组件存在的安全缺陷，涉及图形处理、网络模块、PDF解析、媒体处理以及JavaScript脚本执行等领域。

本次更新包含7个严重漏洞、29个高风险漏洞以及1个中风险漏洞，属于一次重要的安全升级。

本次修复的版本号：Windows与macOS系统为155.0.8059.79/.80；Linux系统为155.0.8059.79。谷歌表示，会在未来数日至数周内逐步推送该更新。

公告列明了受影响组件以及漏洞类型，但并未详细说明漏洞的利用条件。

此外，谷歌尚未确认这些漏洞是否已经在真实网络环境中被黑客利用，因此这些漏洞不属于零日漏洞。

已修复的7个严重级别漏洞

严重漏洞中包含编号CVE‑2026‑110152，是ANGLE组件的缓冲区溢出漏洞，由深度优先安全团队的林振鹏（Leo Lin）于9月30日上报。

其余6个严重漏洞均为释放后重用（use‑after‑free）漏洞：浏览器模块CVE‑2026‑110149、PDF处理模块CVE‑2026‑110136、网络模块CVE‑2026‑110161、浏览器核心组件CVE‑2026‑110165、SVG模块CVE‑2026‑110148，以及媒体模块CVE‑2026‑110151。这些漏洞分布在浏览器不同子系统，并非源自同一个问题组件。

浏览器、网络、核心组件的严重漏洞由谷歌内部上报；PDF、SVG、媒体相关漏洞由葛新阳（Xinyang Ge）提交，上报时间集中在10月1日至10月6日之间。

尽管谷歌将以上全部漏洞标记为严重等级，但安全公告并未披露攻击链、漏洞验证利用代码，也没有说明单个漏洞是否就可以实现设备攻陷。因此，不能直接等同于网传的攻击者实际攻击能力。

29个高风险漏洞包括V8引擎的类型混淆漏洞CVE‑2026‑110140，还有V8引擎的释放后重用漏洞CVE‑2026‑110169、CVE‑2026‑110168。

Anthropic公司的葛新阳借助Claude大模型协助，于9月28日上报CVE‑2026‑110169。其余内存类漏洞涉及WebRTC、文档对象模型DOM、画布、物体检测、SVG、PDF、密码管理以及媒体模块，足以看出本次补丁覆盖的组件范围十分广泛。

部分高风险漏洞和授权校验、权限处理相关，并非内存生命周期错误。包括阅读模式授权缺失、更新器与Mojo组件授权逻辑错误、安装程序权限提升漏洞。

谷歌同时修复了密码管理器信息泄露、扩展程序引用解析错误、动画模块与PDFium库缓冲区溢出，以及某个第三方组件未初始化变量问题。唯一的中风险漏洞CVE‑2026‑110142，影响文件系统模块。

谷歌表示，在绝大多数用户完成更新之前，漏洞的技术细节会保持限制公开。如果受影响的第三方库还被其他项目使用且尚未打补丁，相关限制还会继续保留。

这意味着漏洞触发条件、利用方式不会对外完整公开，但漏洞编号、危险等级、受影响组件、上报研究者信息以及部分奖励信息仍会对外披露。

本次发布中还提及谷歌的安全测试工具集，包含地址消毒器、内存消毒器、未定义行为消毒器、控制流完整性、libFuzzer模糊测试器以及AFL模糊测试工具。这些工具和安全研究员提交的漏洞报告相辅相成，在Chrome开发阶段就帮助发现安全缺陷。