威脅情報

高CVSS8.8#CVE-2026-125350 #Google Chrome #Chromium #釋放後使用 #瀏覽器 #零日漏洞 #KEV

CVE-2026-125350 — Google Chrome XML 釋放後使用漏洞已被在野利用：解析與對策（已在 157.0.8103.50 修復，已列入 KEV）

CVE-2026-125350 是 157.0.8103.50 之前的 Chrome 中 XML 的釋放後使用漏洞。Google 稱已有在野利用。已列入 CISA KEV，期限為11月24日。

發布於 2026-11-11 更新於 2026-11-11 最後核實 2026-11-11 閱讀時間 3 分鐘

本頁內容

這是一篇針對 Google Chrome 漏洞的解析：開啟精心構造的網頁即可觸發。本文以防禦視角，說明發生什麼、受影響和已修復的版本，以及個人和管理員應該怎麼做，不涉及攻擊步驟。

公告摘要 — ADVISORY / KEV

CVE: CVE-2026-125350（Chromium issue 582442907）
嚴重度: Chromium 嚴重度 High。CVSS v3.1 8.8（AV:N/AC:L/PR:N/UI:R；由 CISA 的 ADP 給出）
型別: XML 中的釋放後使用（CWE-416）。可在沙箱內執行任意程式碼
受影響: Google Chrome 157.0.8103.50 之前（CVE 記錄）。KEV 稱可能影響 Edge、Opera 等基於 Chromium 的瀏覽器
修復: Chrome Stable 157.0.8103.50（Windows 和 Mac 為 157.0.8103.50/.51，Linux 為 157.0.8103.50）
日期: Chrome Releases 文章：2026年11月9日。CVE 記錄於11月10日釋出
利用情況: Google 稱已知存在在野利用。11月10日列入 CISA KEV（期限為11月24日）

已被利用

據 Google

8.8

CVSS v3.1（CISA ADP）

157.0.8103.50

修復（Windows 和 Mac 也有 .51）

11月24日

KEV 期限

等待的風險

這類漏洞可能讓攻擊者僅憑瀏覽一個頁面就獲得立足點。沙箱內的程式碼執行並不等於完全控制裝置，但瀏覽器攻擊通常把它當作第一階段，再與其他漏洞串聯。該 CVE 是否發生過這種情況，無法透過公開資訊確認。

這是什麼樣的漏洞

CVE 記錄描述的是 157.0.8103.50 之前的 Chrome 的 XML 元件中的釋放後使用（記憶體釋放後仍被使用）。遠端攻擊者可以透過精心構造的 HTML 頁面在沙箱內執行任意程式碼。在 Google 的釋出說明中，嚴重度為 High，報告者匿名，報告日期為2026年11月6日。

使用者必須開啟該精心構造的頁面（CVSS 向量中的 UI:R）。
Google 和本站都不公佈攻擊步驟或程式碼。
Google 指出，在大多數使用者完成更新之前，漏洞細節可能會保持受限。

同一次更新還修復了另一個 XML 釋放後使用漏洞（CVE-2026-125346），但 Google 只提到 CVE-2026-125350 存在在野利用。該更新共包含 9 項安全修復。

誰受影響

專案	內容
產品	Google Chrome（桌面版）
受影響版本	157.0.8103.50 之前（CVE 記錄）
修復（Stable）	Windows 和 Mac：157.0.8103.50/.51。Linux：157.0.8103.50
其他基於 Chromium 的瀏覽器	KEV 稱 Edge、Opera 等可能受影響。各廠商會發布各自的修復
Microsoft Edge	檢查時，Microsoft 的安全釋出說明沒有列出包含此 CVE 的版本，所以無法確認版本號。11月9日的一則公告稱 Microsoft 已知存在在野利用並正在準備修復（未指明 CVE）
臨時辦法	沒有列出。更新就是補救方式

Google 稱推送需要數天到數週。您不必等它到達，可以手動檢查。
桌面版 Stable 的文章不涉及 Android 或 iOS。如果您使用這些，請到應用商店檢查更新。

如何確認自己是否受影響

確認 Chrome 的版本

開啟 chrome://settings/help（選單、幫助、關於 Google Chrome）。低於 157.0.8103.50 即受影響。開啟這個頁面也會開始檢查並下載更新。

檢視是否在等待重啟

更新下載完成後會出現「重新啟動」按鈕。重啟之前修復不會生效。需要留意的是那些連續執行數天、開啟了很多標籤頁的機器。

檢查其他瀏覽器

如果您使用 Edge、Opera 或其他基於 Chromium 的瀏覽器，請在其「關於」頁面檢查更新。各廠商的修復版本是分別釋出的，撰寫本文時都無法確認（資產清點清單）。

今天該做什麼

更新 Chrome 並重啟（最優先）

開啟「關於 Chrome」獲取更新，然後點選「重新啟動」。請先儲存開啟的標籤頁和表單中的內容。重啟後再次檢視版本：應為 157.0.8103.50 或更高。

更新 Edge、Opera 和其他基於 Chromium 的瀏覽器

檢查各瀏覽器的更新並安裝最新版本。在修復尚未提供之前，本站自己的建議是避開不可信的網站並移除不需要的擴充套件，以降低暴露面。這不能代替更新。

（管理員）列出您裝置群中的版本

用管理控制檯或資產工具找出 Chrome 低於 157.0.8103.50 的裝置。遠端辦公者和很少重啟的機器最可能被落下。

（管理員）強制更新並重啟

檢查是否有阻止更新或固定版本的策略，並將其移除。Chrome 有重啟提醒策略（如 RelaunchNotification），可以設定期限。KEV 的期限是11月24日。流程見漏洞修復實務手冊。

事後查詢異常行為

針對更新之前的這段時間，檢查是否有不認識的擴充套件、被更改的主頁或搜尋引擎，以及對已儲存密碼的異常訪問。如果發現，請考慮輪換密碼並隔離該裝置。

利用情況

Google 的釋出說明稱，已知 CVE-2026-125350 存在在野利用。
CISA 於2026年11月10日把它列入 KEV，期限為11月24日（KEV 版本 2026.11.10）。勒索軟體使用情況記為 Unknown，取證分診記為 No。
CVE 記錄中附有 CISA 的評估（exploitation active、not automatable、total technical impact）。
規模、手法或攻擊者的公開資訊無法確認。今年這是第幾個被在野利用的 Chrome 漏洞，Google 的說明中沒有寫明，本站也沒有核實，所以這裡不作斷言。

本站的觀點：要確認已重啟，而不只是已更新

更新下載完成後，瀏覽器在重啟之前仍會繼續執行舊的程序。在受管裝置上，更新的推送和使用者的重啟是分別跟蹤的。以「正在執行的版本是否為 157.0.8103.50 或更高」為衡量標準，可以減少遺漏（用 CVSS、EPSS、KEV 確定優先順序）。

資訊來源

Google — Stable Channel Update for Desktop（Chrome Releases，2026年11月9日；修復版本和在野利用的說明）
CVE.org — CVE-2026-125350（2026年11月10日釋出；含 CISA 的列入資訊）
NVD — CVE-2026-125350
CISA KEV — Known Exploited Vulnerabilities Catalog（11月10日列入，期限11月24日）
Microsoft — Microsoft Edge Security Release Notes（用於檢查 Edge 是否有修復）

最後確認：2026年11月11日。

FAQ

QCVE-2026-125350 是什麼？

這是 Google Chrome 的 XML 元件中的釋放後使用漏洞（CWE-416）。CVE 記錄稱，在 157.0.8103.50 之前的 Chrome 中，遠端攻擊者可以透過精心構造的 HTML 頁面在沙箱內執行任意程式碼。Chromium 將其評為 High；CVSS v3.1 評分 8.8 由 CISA 新增。

Q應該更新到哪個版本？

Google 的 Stable 通道更新是：Windows 和 Mac 為 157.0.8103.50 或 .51，Linux 為 157.0.8103.50。請在「關於 Chrome」中檢視版本，然後重啟以生效。Google 稱推送需要數天到數週，所以如果更新還沒有到達您這裡，請手動檢查。

Q被利用了嗎？

是的。Google 的釋出說明稱，已知 CVE-2026-125350 存在在野利用。CISA 於11月10日將其列入 KEV（期限為11月24日）。規模、手法和攻擊者無法透過公開資訊確認。

QEdge、Opera 和其他瀏覽器受影響嗎？

CISA 的 KEV 描述稱，它可能影響包括 Chrome、Microsoft Edge 和 Opera 在內的多個基於 Chromium 的瀏覽器。各廠商會發布各自的修復版本。就本站能從官方來源確認的而言，Microsoft 的 Edge 安全釋出說明尚未列出包含此 CVE 的版本。該說明中確有11月9日的一則公告，稱 Microsoft 已知存在在野利用並正在製作安全修復（未指明 CVE）。請檢查各瀏覽器的更新並安裝最新版本。

Q這與同一次更新中修復的另一個 XML 漏洞（CVE-2026-125346）是同一個嗎？

不是，它是另一個 CVE。同一次更新還修復了 CVE-2026-125346（同樣是 XML 中 High 級別的釋放後使用漏洞），但 Google 只提到 CVE-2026-125350 存在在野利用。更新後兩者都會得到修復。

Q管理員應該怎麼做？

把受管的 Chrome 更新到 157.0.8103.50（Windows 和 Mac 也有 .51）或更高版本，並完成重啟。檢查是否有阻止更新或固定版本的策略，並用管理控制檯的版本列表找出尚未更新的裝置。Chrome 有重啟提醒策略（如 RelaunchNotification），可用來提示使用者重啟。KEV 的期限是11月24日。