Google vá 79 lỗ hổng trên Chrome, gồm 14 lỗi nghiêm trọng có thể chiếm quyền máy tính

[WhiteHat Team]

Google vừa phát hành một trong những bản cập nhật bảo mật lớn nhất từ đầu năm 2026 cho trình duyệt Chrome, khắc phục tổng cộng 79 lỗ hổng bảo mật, trong đó có tới 14 lỗ hổng được xếp loại nghiêm trọng. Các chuyên gia an ninh mạng cảnh báo người dùng cần cập nhật trình duyệt càng sớm càng tốt, bởi trình duyệt web hiện là một trong những mục tiêu tấn công phổ biến nhất của tin tặc để phát tán mã độc, đánh cắp dữ liệu và chiếm quyền thiết bị.
​

​

Theo thông tin từ Google và các nhà nghiên cứu bảo mật, phần lớn các lỗ hổng lần này liên quan đến lỗi quản lý bộ nhớ, đặc biệt là nhóm lỗi “Use-After-Free”, dạng lỗi có thể cho phép kẻ tấn công thực thi mã độc từ xa chỉ thông qua việc dụ nạn nhân truy cập vào một website được cài cắm mã độc hại.​

Chrome đang đối mặt với điều gì?​

Đợt cập nhật lần này đưa Chrome lên các phiên bản 148.0.7778.167 và 148.0.7778.168 trên Windows/macOS, cùng phiên bản 148.0.7778.167 trên Linux và Android. Tổng cộng 79 lỗ hổng đã được xử lý, bao gồm 14 lỗi Critical, 37 lỗi mức High và nhiều lỗi mức Medium.

Trong số các lỗi nghiêm trọng nhất có:​

• CVE-2026-8509: Heap Buffer Overflow trong thành phần WebML​
• CVE-2026-8510: Integer Overflow trong thư viện đồ họa Skia​
• Các lỗ hổng CVE-2026-8511 đến CVE-2026-8522 chủ yếu liên quan đến lỗi Use-After-Free trong nhiều thành phần của Chrome.​

Google cho biết hiện chưa ghi nhận các lỗ hổng này bị khai thác ngoài thực tế. Tuy nhiên, giới chuyên gia cảnh báo đây chỉ là “khoảng thời gian vàng” trước khi mã khai thác xuất hiện công khai sau khi thông tin kỹ thuật được tiết lộ rộng rãi.​

Lỗi “Use-After-Free” nguy hiểm như thế nào?​

Phần lớn các lỗ hổng được vá lần này thuộc nhóm Use-After-Free (UAF). Đây là dạng lỗi xảy ra khi chương trình tiếp tục sử dụng một vùng nhớ đã được giải phóng trước đó.

Nói đơn giản, Chrome có thể “truy cập nhầm” vào dữ liệu bộ nhớ không còn hợp lệ. Tin tặc có thể lợi dụng trạng thái này để chèn mã độc, làm hỏng dữ liệu hoặc thực thi lệnh trái phép trên thiết bị nạn nhân.

Trong thực tế, đây là một trong những nhóm lỗ hổng phổ biến và nguy hiểm nhất đối với trình duyệt web hiện đại. Chỉ cần người dùng truy cập vào một website độc hại, hacker có thể kích hoạt lỗi bộ nhớ để khiến trình duyệt bị crash, rò rỉ dữ liệu hoặc thậm chí chiếm quyền thực thi mã từ xa (Remote Code Execution - RCE).

Các chuyên gia cho biết 24/79 lỗ hổng lần này là lỗi UAF, trong đó có 8 lỗi được đánh giá ở mức Critical. Điều này cho thấy quản lý bộ nhớ tiếp tục là “điểm yếu cố hữu” của các phần mềm lớn viết bằng ngôn ngữ C/C++.​

Vì sao trình duyệt web luôn là mục tiêu tấn công hấp dẫn?​

Trình duyệt hiện là “cửa ngõ” truy cập internet của gần như mọi người dùng. Từ email, ngân hàng trực tuyến, mạng xã hội cho đến hệ thống quản trị doanh nghiệp đều hoạt động thông qua trình duyệt.

Điều này khiến Chrome trở thành mục tiêu có giá trị rất cao đối với tin tặc. Nếu khai thác thành công lỗ hổng trình duyệt, kẻ tấn công có thể:​

• Đánh cắp cookie và phiên đăng nhập​
• Theo dõi thao tác người dùng​
• Cài mã độc hoặc ransomware​
• Đánh cắp tài liệu doanh nghiệp​
• Vượt sandbox trình duyệt để chiếm quyền hệ điều hành​
• Tấn công chuỗi cung ứng hoặc hệ thống nội bộ doanh nghiệp​

Trong nhiều chiến dịch tấn công hiện đại, trình duyệt thường là bước đầu tiên để mở đường vào toàn bộ hệ thống của nạn nhân.​

Google phát hiện các lỗ hổng bằng cách nào?​

Theo Google, 59 trong số 79 lỗ hổng được phát hiện nội bộ thông qua các hệ thống kiểm thử tự động và công nghệ AI hỗ trợ săn lỗi bảo mật. 20 lỗ hổng còn lại do các nhà nghiên cứu bảo mật bên ngoài báo cáo thông qua chương trình bug bounty của Google.

Google đã chi hơn 112.000 USD tiền thưởng cho các nhà nghiên cứu phát hiện lỗi trong đợt cập nhật này. Một số nhà nghiên cứu cho biết việc AI tham gia quá trình phân tích mã nguồn đang giúp phát hiện nhanh hơn các lỗi bộ nhớ phức tạp vốn rất khó nhận biết bằng phương pháp truyền thống.​

Các lỗ hổng có thể bị khai thác như thế nào?​

Thông thường, hacker sẽ tạo một website độc hại hoặc nhúng mã khai thác vào quảng cáo trực tuyến, trang giả mạo hoặc file HTML. Khi người dùng truy cập website đó bằng phiên bản Chrome chưa cập nhật, mã khai thác có thể kích hoạt lỗi bộ nhớ để:​

• Làm trình duyệt crash​
• Đọc hoặc ghi dữ liệu trái phép​
• Chạy mã độc trong sandbox trình duyệt​
• Leo thang đặc quyền để chiếm quyền hệ thống​

Một số lỗ hổng còn có khả năng kết hợp với các lỗi khác để vượt sandbox của Chrome – lớp bảo vệ vốn được thiết kế nhằm cô lập tiến trình trình duyệt khỏi hệ điều hành.

Theo các chuyên gia, nhiều lỗi UAF có thể bị biến thành chuỗi khai thác hoàn chỉnh dẫn tới Remote Code Execution nếu hacker kiểm soát thành công vùng nhớ bị lỗi.​

Phạm vi ảnh hưởng lớn đến đâu?​

Chrome hiện là trình duyệt phổ biến nhất thế giới với hàng tỷ người dùng trên Windows, macOS, Linux, Android và ChromeOS.

Điều này đồng nghĩa bất kỳ lỗ hổng nghiêm trọng nào trong Chrome đều có phạm vi ảnh hưởng cực lớn, từ người dùng cá nhân đến doanh nghiệp, trường học và cơ quan chính phủ.

Đặc biệt, nhiều trình duyệt khác như Microsoft Edge, Brave, Opera hay Vivaldi cũng sử dụng nhân Chromium. Vì vậy, các lỗ hổng tương tự có thể ảnh hưởng gián tiếp đến các trình duyệt này trước khi nhà phát triển phát hành bản vá riêng.​

Google đã phát hành bản vá chưa?​

Có. Google đã phát hành đầy đủ bản cập nhật bảo mật cho tất cả nền tảng chính.


Người dùng được khuyến nghị cập nhật Chrome ngay lập tức thông qua:


Cài đặt → Trợ giúp → Giới thiệu về Google Chrome

Sau khi tải xong bản cập nhật, cần khởi động lại trình duyệt để bản vá có hiệu lực.​

Các chuyên gia khuyến nghị gì?​

Các chuyên gia an ninh mạng cho rằng người dùng không nên trì hoãn cập nhật trình duyệt, kể cả khi chưa ghi nhận khai thác ngoài thực tế. Một số khuyến nghị quan trọng gồm:​

• Cập nhật Chrome và các trình duyệt Chromium lên phiên bản mới nhất​
• Khởi động lại trình duyệt sau khi cập nhật​
• Không truy cập website lạ hoặc tải file từ nguồn không rõ ràng​
• Hạn chế cài extension không cần thiết​
• Kích hoạt Safe Browsing và các tính năng bảo vệ nâng cao​
• Doanh nghiệp nên triển khai chính sách quản lý bản vá tập trung​
• Theo dõi các cảnh báo zero-day mới liên quan đến Chrome và Chromium​

Đợt vá 79 lỗ hổng lần này cho thấy trình duyệt web tiếp tục là mặt trận nóng của cuộc chiến an ninh mạng toàn cầu. Dù Google cho biết chưa phát hiện hoạt động khai thác thực tế, việc tồn tại tới 14 lỗ hổng mức Critical trong một bản cập nhật là tín hiệu đáng báo động đối với cả người dùng cá nhân lẫn doanh nghiệp.

Trong bối cảnh tin tặc ngày càng tận dụng các lỗi trình duyệt để phát tán mã độc và đánh cắp dữ liệu, việc cập nhật Chrome không còn chỉ là thao tác bảo trì thông thường mà đã trở thành một yêu cầu an toàn bắt buộc. Chỉ một trình duyệt chưa cập nhật cũng có thể trở thành “cửa ngõ” mở đường cho toàn bộ cuộc tấn công mạng vào hệ thống của người dùng hoặc doanh nghiệp.​