- Google đã phát hành bản cập nhật kênh ổn định cho Chrome bản desktop, trong đó có lỗ hổng zero-day liên quan đến CSS được định danh là CVE-2026-2441
- Google xác nhận lỗ hổng này đang bị khai thác trong thực tế (in the wild), và người dùng nên cập nhật ngay lên phiên bản mới nhất để giảm thiểu rủi ro bảo mật
- Bản cập nhật đang được triển khai theo từng đợt cho Chrome trên Windows, macOS và Linux
Tổng quan bản cập nhật kênh ổn định của Chrome
- Google đã công bố bản cập nhật Kênh ổn định (Stable Channel) cho Chrome trên desktop
- Windows/macOS là 145.0.7632.75/76, Linux là 144.0.7559.75
- Bản cập nhật được phát hành cho các nền tảng Windows, macOS và Linux
- Sẽ được áp dụng dần thông qua cập nhật tự động
Lỗ hổng bảo mật CVE-2026-2441
- Phiên bản lần này bao gồm lỗ hổng bảo mật được gán mã CVE-2026-2441
- Được xác nhận là lỗ hổng zero-day phát sinh trong quá trình xử lý CSS
- Google nêu rõ rằng lỗ hổng này đang bị khai thác trong thực tế
Khuyến nghị dành cho người dùng
- Google khuyến nghị tất cả người dùng cập nhật Chrome lên phiên bản mới nhất ngay lập tức
- Nếu cập nhật tự động chưa hoàn tất, có thể cập nhật thủ công
- Khi áp dụng phiên bản mới nhất, người dùng có thể được bảo vệ khỏi lỗ hổng này
Triển khai và hỗ trợ
- Bản cập nhật đang được triển khai dần qua kênh ổn định
- Một số người dùng có thể cần chờ thêm thời gian để nhận được bản cập nhật
- Nhóm Chrome đang tiếp tục thực hiện các cải tiến bảo mật bổ sung và nâng cao độ ổn định
2 bình luận
Tôi đã cập nhật rồi nhưng trên Mac thì phiên bản đã lên tới 145.0.7632.110 rồi.
Đây là lỗ hổng có thể dẫn tới chiếm quyền hệ thống do xảy ra lỗi Use-After-Free khi xử lý font bên trong CSS và tiếp tục sử dụng một địa chỉ đã bị vô hiệu hóa, nên chỉ cần mở một trang web thôi cũng có thể bị ảnh hưởng. Thậm chí còn đã có nơi khai thác lỗ hổng này.
Ý kiến trên Hacker News
Đã phát hiện lỗ hổng use-after-free trong CSS của Google Chromium
Đây là vấn đề mà kẻ tấn công từ xa có thể gây hỏng heap thông qua một trang HTML độc hại, và có thể ảnh hưởng không chỉ Chrome mà cả các trình duyệt dựa trên Chromium như Edge, Opera
Có vẻ là một vấn đề khá nghiêm trọng, và tôi tò mò tiền thưởng bug bounty mà nhà nghiên cứu nhận được là bao nhiêu
Nghĩ đến công sức cần bỏ ra để tìm ra một lỗ hổng nghiêm trọng và tạo được exploit có thể tái hiện, tôi cảm thấy mức thưởng là quá thấp
Vì phần lớn đều ghim cố định (pinning) phiên bản Chrome
Nhưng việc nói là “được phát hiện ngoài thực tế” có thể cũng đồng nghĩa là đã tồn tại một chuỗi tấn công bao gồm cả sandbox escape
Việc không loại bỏ được kiểu lỗi này trong ngôn ngữ hệ thống của thế kỷ 21 là điều đáng xấu hổ
Có lẽ vẫn còn những lỗi như vậy ẩn trong các góc tối của codebase Chromium/Blink
Với một dự án cốt lõi như thế này, nên có nhân sự chuyên trách để liên tục xác minh toàn bộ mã nguồn
Tôi nghĩ đầu tư vào tăng cường bảo mật như vậy có giá trị hơn nhiều so với các tính năng như tích hợp với tủ lạnh thông minh
Nếu fuzzer đủ mạnh thì tôi cho rằng hầu như không còn khu vực nào là không thể chạm tới
Cách diễn đạt “Use after free in CSS” nghe hơi buồn cười
Tôi không rõ chính xác lỗ hổng này gây ảnh hưởng thế nào
Nếu không có thoát khỏi sandbox hay XSS thì có vẻ gần như vô hại, nhưng nhìn vào mã PoC thì
người ta nói có thể thực hiện nhiều kiểu tấn công như thực thi mã tùy ý trong tiến trình renderer, rò rỉ thông tin, đánh cắp cookie và phiên, thao túng DOM, keylogging
Đầu tiên là dùng lỗi renderer để có thực thi mã tùy ý bên trong sandbox, sau đó dùng sandbox escape để lấy toàn bộ quyền trên hệ thống
Lỗ hổng này thuộc giai đoạn đầu, và nếu đã được dùng trong tấn công thực tế thì khả năng cao cũng tồn tại giai đoạn thứ hai
Tôi vẫn thấy ngạc nhiên là những lỗ hổng bộ nhớ như thế này vẫn xuất hiện
Tôi cứ nghĩ hẳn đã có những công cụ để tạo ra binary đã được kiểm chứng như với ngôn ngữ an toàn bộ nhớ
CSS giờ cũng trở nên phức tạp hơn với biến, phạm vi và các tính năng tiền xử lý ngày càng nhiều, nên có khi cũng cần một tiện ích mở rộng “no-style” giống như “no-script”
Tôi tò mò không biết báo cáo lần này là một sai sót đơn lẻ hay là một chuỗi tấn công nhiều bước
Vấn đề là độ bao phủ kiểm thử. Codebase quá lớn nên rất khó đạt được độ bao phủ hoàn toàn, và các lỗ hổng kiểu này xuất hiện trong những khoảng trống đó
CSS là phần cốt lõi của web, bỏ nó đi thì gần như mọi trang sẽ hỏng
Thay vào đó, thực thi cô lập (isolation) có thể là một phương án thay thế
Nếu phát trực tuyến phiên trình duyệt từ máy chủ từ xa, thì ngay cả khi có zero-day, chỉ instance từ xa bị ảnh hưởng chứ không phải máy cục bộ
Dù không hoàn hảo, đây là một chiến lược phòng thủ theo chiều sâu để thu hẹp bề mặt tấn công
Trong danh sách công cụ bảo mật mà nhóm Chromium sử dụng có nhắc đến AddressSanitizer, MemorySanitizer, libFuzzer..., nhưng việc thiếu OSS-Fuzz khá thú vị
Tôi muốn xem mã PoC sau khi bản vá được phát hành
Có người đùa rằng nên viết lại Chromium bằng Rust
Tôi tìm CVE thì thấy có trang issue tồn tại nhưng
nó hiển thị “Access is denied”
Có vẻ đây là trạng thái riêng tư, chỉ truy cập được khi đăng nhập