Google Chrome 浏览器曝出一个已经被黑客实际利用的高危漏洞：CVE-2026-125350，高危，8.8分。

该漏洞编号 CVE-2026-125350，存在于 Chrome 的 XML 组件中。攻击者可以通过精心构造的恶意网页，触发浏览器内存错误，进而在 Chrome 沙箱内部执行任意代码。

Google 已于 11 月 9 日发布安全更新，并确认该漏洞已经遭到实际利用。

美国网络安全和基础设施安全局（CISA）随后也将其列入「已知遭利用漏洞目录」（KEV），建议用户尽快完成更新。

感谢 Duah 同学的提醒。

打开恶意网页，就可能触发漏洞

CVE-2026-125350 是一个 Use-After-Free（释放后使用，简称 UAF）漏洞，CVSS 3.1 评分为 8.8 分，属于高危级别。

简单来说，浏览器在处理网页内容时，会不断申请、使用和释放内存。

正常情况下，一块内存被释放后，程序就不应该继续使用它。但如果浏览器错误地访问了已经释放的内存，就可能导致程序崩溃，甚至被攻击者利用来执行恶意代码。

这个漏洞就出现在 Chrome 的 XML 处理组件中。

攻击者可以制作一个特殊的 HTML 网页，诱导用户访问，从而触发漏洞。

不过，漏洞利用成功后，攻击者只能在 Chrome 沙箱内部执行代码，如果想进一步获取系统权限，通常还需要结合其他漏洞或攻击手段。

Google 已确认漏洞遭到实际利用

Google 在安全公告中明确确认，CVE-2026-125350 的利用程序已经出现在实际攻击中。

不过，目前 Google 尚未公开完整的攻击细节，包括攻击者身份、受害者数量，以及是否存在配合使用的其他漏洞。

出于安全考虑，Chromium 的相关漏洞细节可能会暂时限制访问，避免更多攻击者在用户完成更新之前利用漏洞。

哪些 Chrome 版本需要更新？

Google 已经为 Windows、macOS、Linux 和 Android 发布修复更新。

操作系统	修复版本
Windows	157.0.8103.50 / .51
macOS	157.0.8103.50 / .51
Linux	157.0.8103.50
Android	157.0.8103.50
Windows / macOS Extended Stable	156.0.8078.96

更新后，需要重启浏览器。

青小蛙也是很久没重启浏览器了，每次面对残留的一大堆已打开标签页，就不想重启 😭

Edge、Brave 等浏览器也需要注意

由于 Microsoft Edge、Brave、Vivaldi、Opera 等浏览器同样基于 Chromium 开发，因此也需要关注这个漏洞。

建议手动检查，并正常更新。

---

原文：https://www.appinn.com/chrome-cve-2026-125350-zero-day-exploit/

参考连接：

• Google Chrome 官方安全公告
• NVD：CVE-2026-125350
• CISA 已知遭利用漏洞目录
• Chromium 漏洞追踪