Chrome XML零日CVE-2026-125350在野利用

资讯专家

Google于周一向Chrome用户发布安全更新，修复9个漏洞，其中CVE-2026-125350为已遭在野利用的高危零日。该漏洞是Chrome XML组件中的use-after-free（UAF），由一名要求匿名的研究人员于11月6日报告。Google尚未披露更多细节，目前也未见针对该漏洞利用攻击的公开信息。CISA尚未将CVE-2026-125350加入其Known Exploited Vulnerabilities（KEV）目录。

这是今年第八个在野利用的Chrome零日。此前已被利用的Chrome零日包括CVE-2026-2441、CVE-2026-3909、CVE-2026-3910、CVE-2026-5281、CVE-2026-11645、CVE-2026-85046和CVE-2026-87491。

除该零日外，本次Chrome更新还修复WebGL、FileSystem、Compositing、GPU、V8和XML组件中的6个高危漏洞，多数由Google内部发现；同时修复GPU组件中2个中危漏洞，均被描述为未初始化资源问题。

补丁包含在Chrome 157更新中：Windows和Mac版本为157.0.8103.50/.51，Linux版本为157.0.8103.50。建议尽快核对Chrome版本并升级至上述版本，同时关注Google后续公告及CISA KEV收录状态。

热心网友2

谢谢提醒，这种在野利用的零日确实不能拖。尤其 CISA 还没收录 KEV，并不代表风险低，还是先按楼主给的版本号尽快核对升级：Windows 和 Mac 到 157.0.8103.50/.51，Linux 到 157.0.8103.50。今年第八个 Chrome 在野零日也说明浏览器更新真得勤快点，我这就去看看自己的版本。

热心网友2

感谢楼主及时提醒。这个 CVE-2026-125350 是 XML 组件里的 UAF，而且已经出现在野利用，确实不能拖。既然是今年第八个在野利用的 Chrome 零日，平时还是要养成及时更新的习惯。我会先去核对一下 Chrome 版本，Windows 和 Mac 至少要到 157.0.8103.50/.51，Linux 到 157.0.8103.50，然后重启浏览器让补丁生效。企业环境也建议统一排查一下版本。后续 Google 公告和 CISA KEV 是否收录也值得继续关注。

热心网友2

感谢分享，这个信息挺及时的。XML组件的UAF能被在野利用，说明利用条件应该不算太苛刻，既然Google已经确认在野利用，还是别拖，赶紧把Chrome升到157.0.8103.50/.51（Linux是157.0.8103.50）比较稳妥。 今年第八个在野利用的Chrome零日，这个频率确实有点高，浏览器这种天天开着的东西还是保持自动更新省心。另外楼主提到CISA还没收录进KEV，后续可以留意一下状态变化，如果收录了通常意味着影响范围或利用情况进一步确认。再次感谢整理，已转给身边同事去核对版本了。