威胁动态

高CVSS8.8#CVE-2026-125350 #Google Chrome #Chromium #释放后使用 #浏览器 #零日漏洞 #KEV

CVE-2026-125350 — Google Chrome XML 释放后使用漏洞已被在野利用：解析与对策（已在 157.0.8103.50 修复，已列入 KEV）

CVE-2026-125350 是 157.0.8103.50 之前的 Chrome 中 XML 的释放后使用漏洞。Google 称已有在野利用。已列入 CISA KEV，期限为11月24日。

发布于 2026-11-11 更新于 2026-11-11 最后核实 2026-11-11 3 分钟阅读

本页目录

这是一篇针对 Google Chrome 漏洞的解析：打开精心构造的网页即可触发。本文以防御视角，说明发生什么、受影响和已修复的版本，以及个人和管理员应该怎么做，不涉及攻击步骤。

公告摘要 — ADVISORY / KEV

CVE: CVE-2026-125350（Chromium issue 582442907）
严重度: Chromium 严重度 High。CVSS v3.1 8.8（AV:N/AC:L/PR:N/UI:R；由 CISA 的 ADP 给出）
类型: XML 中的释放后使用（CWE-416）。可在沙箱内执行任意代码
受影响: Google Chrome 157.0.8103.50 之前（CVE 记录）。KEV 称可能影响 Edge、Opera 等基于 Chromium 的浏览器
修复: Chrome Stable 157.0.8103.50（Windows 和 Mac 为 157.0.8103.50/.51，Linux 为 157.0.8103.50）
日期: Chrome Releases 文章：2026年11月9日。CVE 记录于11月10日发布
利用情况: Google 称已知存在在野利用。11月10日列入 CISA KEV（期限为11月24日）

已被利用

据 Google

8.8

CVSS v3.1（CISA ADP）

157.0.8103.50

修复（Windows 和 Mac 也有 .51）

11月24日

KEV 期限

等待的风险

这类漏洞可能让攻击者仅凭浏览一个页面就获得立足点。沙箱内的代码执行并不等于完全控制设备，但浏览器攻击通常把它当作第一阶段，再与其他漏洞串联。该 CVE 是否发生过这种情况，无法通过公开信息确认。

这是什么样的漏洞

CVE 记录描述的是 157.0.8103.50 之前的 Chrome 的 XML 组件中的释放后使用（内存释放后仍被使用）。远程攻击者可以通过精心构造的 HTML 页面在沙箱内执行任意代码。在 Google 的发布说明中，严重度为 High，报告者匿名，报告日期为2026年11月6日。

用户必须打开该精心构造的页面（CVSS 向量中的 UI:R）。
Google 和本站都不公布攻击步骤或代码。
Google 指出，在大多数用户完成更新之前，漏洞细节可能会保持受限。

同一次更新还修复了另一个 XML 释放后使用漏洞（CVE-2026-125346），但 Google 只提到 CVE-2026-125350 存在在野利用。该更新共包含 9 项安全修复。

谁受影响

项目	内容
产品	Google Chrome（桌面版）
受影响版本	157.0.8103.50 之前（CVE 记录）
修复（Stable）	Windows 和 Mac：157.0.8103.50/.51。Linux：157.0.8103.50
其他基于 Chromium 的浏览器	KEV 称 Edge、Opera 等可能受影响。各厂商会发布各自的修复
Microsoft Edge	检查时，Microsoft 的安全发布说明没有列出包含此 CVE 的版本，所以无法确认版本号。11月9日的一则公告称 Microsoft 已知存在在野利用并正在准备修复（未指明 CVE）
临时办法	没有列出。更新就是补救方式

Google 称推送需要数天到数周。您不必等它到达，可以手动检查。
桌面版 Stable 的文章不涉及 Android 或 iOS。如果您使用这些，请到应用商店检查更新。

如何确认自己是否受影响

确认 Chrome 的版本

打开 chrome://settings/help（菜单、帮助、关于 Google Chrome）。低于 157.0.8103.50 即受影响。打开这个页面也会开始检查并下载更新。

查看是否在等待重启

更新下载完成后会出现「重新启动」按钮。重启之前修复不会生效。需要留意的是那些连续运行数天、打开了很多标签页的机器。

检查其他浏览器

如果您使用 Edge、Opera 或其他基于 Chromium 的浏览器，请在其「关于」页面检查更新。各厂商的修复版本是分别发布的，撰写本文时都无法确认（资产清点清单）。

今天该做什么

更新 Chrome 并重启（最优先）

打开「关于 Chrome」获取更新，然后点击「重新启动」。请先保存打开的标签页和表单中的内容。重启后再次查看版本：应为 157.0.8103.50 或更高。

更新 Edge、Opera 和其他基于 Chromium 的浏览器

检查各浏览器的更新并安装最新版本。在修复尚未提供之前，本站自己的建议是避开不可信的网站并移除不需要的扩展，以降低暴露面。这不能代替更新。

（管理员）列出您设备群中的版本

用管理控制台或资产工具找出 Chrome 低于 157.0.8103.50 的设备。远程办公者和很少重启的机器最可能被落下。

（管理员）强制更新并重启

检查是否有阻止更新或固定版本的策略，并将其移除。Chrome 有重启提醒策略（如 RelaunchNotification），可以设置期限。KEV 的期限是11月24日。流程见漏洞修复实务手册。

事后查找异常行为

针对更新之前的这段时间，检查是否有不认识的扩展、被更改的主页或搜索引擎，以及对已保存密码的异常访问。如果发现，请考虑轮换密码并隔离该设备。

利用情况

Google 的发布说明称，已知 CVE-2026-125350 存在在野利用。
CISA 于2026年11月10日把它列入 KEV，期限为11月24日（KEV 版本 2026.11.10）。勒索软件使用情况记为 Unknown，取证分诊记为 No。
CVE 记录中附有 CISA 的评估（exploitation active、not automatable、total technical impact）。
规模、手法或攻击者的公开信息无法确认。今年这是第几个被在野利用的 Chrome 漏洞，Google 的说明中没有写明，本站也没有核实，所以这里不作断言。

本站的观点：要确认已重启，而不只是已更新

更新下载完成后，浏览器在重启之前仍会继续运行旧的进程。在受管设备上，更新的推送和用户的重启是分别跟踪的。以「正在运行的版本是否为 157.0.8103.50 或更高」为衡量标准，可以减少遗漏（用 CVSS、EPSS、KEV 确定优先级）。

信息来源

Google — Stable Channel Update for Desktop（Chrome Releases，2026年11月9日；修复版本和在野利用的说明）
CVE.org — CVE-2026-125350（2026年11月10日发布；含 CISA 的列入信息）
NVD — CVE-2026-125350
CISA KEV — Known Exploited Vulnerabilities Catalog（11月10日列入，期限11月24日）
Microsoft — Microsoft Edge Security Release Notes（用于检查 Edge 是否有修复）

最后确认：2026年11月11日。

FAQ

QCVE-2026-125350 是什么？

这是 Google Chrome 的 XML 组件中的释放后使用漏洞（CWE-416）。CVE 记录称，在 157.0.8103.50 之前的 Chrome 中，远程攻击者可以通过精心构造的 HTML 页面在沙箱内执行任意代码。Chromium 将其评为 High；CVSS v3.1 评分 8.8 由 CISA 添加。

Q应该更新到哪个版本？

Google 的 Stable 通道更新是：Windows 和 Mac 为 157.0.8103.50 或 .51，Linux 为 157.0.8103.50。请在「关于 Chrome」中查看版本，然后重启以生效。Google 称推送需要数天到数周，所以如果更新还没有到达您这里，请手动检查。

Q被利用了吗？

是的。Google 的发布说明称，已知 CVE-2026-125350 存在在野利用。CISA 于11月10日将其列入 KEV（期限为11月24日）。规模、手法和攻击者无法通过公开信息确认。

QEdge、Opera 和其他浏览器受影响吗？

CISA 的 KEV 描述称，它可能影响包括 Chrome、Microsoft Edge 和 Opera 在内的多个基于 Chromium 的浏览器。各厂商会发布各自的修复版本。就本站能从官方来源确认的而言，Microsoft 的 Edge 安全发布说明尚未列出包含此 CVE 的版本。该说明中确有11月9日的一则公告，称 Microsoft 已知存在在野利用并正在制作安全修复（未指明 CVE）。请检查各浏览器的更新并安装最新版本。

Q这与同一次更新中修复的另一个 XML 漏洞（CVE-2026-125346）是同一个吗？

不是，它是另一个 CVE。同一次更新还修复了 CVE-2026-125346（同样是 XML 中 High 级别的释放后使用漏洞），但 Google 只提到 CVE-2026-125350 存在在野利用。更新后两者都会得到修复。

Q管理员应该怎么做？

把受管的 Chrome 更新到 157.0.8103.50（Windows 和 Mac 也有 .51）或更高版本，并完成重启。检查是否有阻止更新或固定版本的策略，并用管理控制台的版本列表找出尚未更新的设备。Chrome 有重启提醒策略（如 RelaunchNotification），可用来提示用户重启。KEV 的期限是11月24日。