Chrome vá zero-day CVE-2026-125350: cập nhật ngay lên bản 157

Ngày 9/11/2026, Google phát hành bản cập nhật khẩn cho Chrome để vá CVE-2026-125350, một lỗ hổng zero-day đã bị khai thác ngoài thực tế. Nếu bạn dùng Chrome trên Windows hoặc macOS, phiên bản an toàn là 157.0.8103.50 hoặc .51; trên Linux và Android là 157.0.8103.50. Việc cần làm chỉ mất một phút: mở trang Giới thiệu về Google Chrome, để trình duyệt tải bản mới, rồi bấm Chạy lại.

Lỗ hổng nằm ở đâu và nguy hiểm thế nào

Theo bài phân tích của eSecurityPlanet đăng ngày 10/11/2026, CVE-2026-125350 là lỗi use-after-free (nhóm CWE-416) trong thành phần xử lý XML của Chrome. Lỗ hổng được chấm 8,8 điểm theo thang CVSS v3.1, mức cao. Kẻ tấn công không cần có quyền gì trước trên máy nạn nhân, nhưng cần nạn nhân thao tác, điển hình là mở một trang web hoặc tài liệu được chuẩn bị sẵn.

Use-after-free là kiểu lỗi quản lý bộ nhớ: chương trình tiếp tục dùng một vùng nhớ đã được giải phóng. Nếu kẻ tấn công điều khiển được nội dung đặt vào vùng nhớ đó, chúng có thể khiến trình duyệt chạy đoạn mã do chúng soạn. Vì Chrome chạy nội dung web trong môi trường cách ly (sandbox), một lỗi như vậy thường được xâu chuỗi với lỗi khác để thoát ra ngoài hệ điều hành. Với CVE-2026-125350, chưa có xác nhận công khai về việc thoát sandbox, nhưng chữ “đã bị khai thác” đủ để coi đây là bản vá không nên trì hoãn.

Cũng trong ngày 10/11, Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) đưa lỗ hổng này vào danh mục KEV, tức danh sách các lỗ hổng đã được ghi nhận bị khai thác, và yêu cầu các cơ quan liên bang Mỹ khắc phục trước ngày 24/11. Mốc này không áp dụng tại Việt Nam, nhưng nó là thước đo tốt về mức độ khẩn cấp.

Phiên bản nào được coi là đã vá

Bản cập nhật ngày 9/11 xử lý tổng cộng chín lỗ hổng bảo mật, nghĩa là ngoài CVE-2026-125350 còn tám lỗi khác được sửa cùng lúc. Google thường giới hạn chi tiết kỹ thuật cho tới khi phần lớn người dùng đã cập nhật, nên đừng chờ đọc đủ thông tin rồi mới hành động.

Cập nhật Chrome trên máy tính

Hướng dẫn trên trang trợ giúp chính thức của Google Chrome gồm ba bước:

1. Mở Chrome, bấm biểu tượng ba chấm (Tùy chọn khác) ở góc trên bên phải.
2. Chọn Trợ giúp, rồi Giới thiệu về Google Chrome. Trang này tự kiểm tra và tải bản mới.
3. Khi tải xong, bấm Chạy lại. Nếu không thấy nút này, bạn đang ở phiên bản mới nhất.

Một chi tiết hay bị bỏ qua: nếu bạn bấm “Không phải bây giờ”, bản vá chỉ có tác dụng ở lần khởi động lại kế tiếp. Nhiều người để Chrome mở liên tục hàng tuần trên laptop, chỉ gập máy rồi mở lại, nên trình duyệt đã tải bản vá nhưng vẫn chạy mã cũ. Trên Windows, cần đóng hết mọi cửa sổ và thẻ để khởi động lại thật sự. Chrome sẽ tự mở lại các thẻ thông thường, riêng cửa sổ ẩn danh thì không, vì vậy hãy lưu lại những gì đang làm dở trong cửa sổ ẩn danh trước khi chạy lại.

Cập nhật trên điện thoại Android

Trên Android, Chrome được cập nhật qua Google Play. Mở Play Store, tìm Chrome, nếu thấy nút Cập nhật thì bấm vào. Sau đó vào Cài đặt trong Chrome, chọn Giới thiệu về Chrome để xác nhận số phiên bản bắt đầu bằng 157.0.8103.50. Bản cập nhật được phát hành theo từng đợt, nên có máy nhận sớm, có máy nhận muộn vài ngày; nếu chưa thấy, hãy kiểm tra lại sau.

Doanh nghiệp và quản trị viên nên làm gì

Ở môi trường văn phòng, Chrome thường được quản lý tập trung và có chính sách trì hoãn cập nhật để tránh lỗi tương thích. Với một zero-day đang bị khai thác, chính sách đó nên được rút ngắn:

• Kiểm tra bảng điều khiển quản trị để biết tỷ lệ máy đã lên 157.0.8103.50 trở lên.
• Đặt hạn chót khởi động lại bắt buộc thay vì chờ người dùng tự bấm.
• Với các máy dùng kênh Extended Stable, xác nhận đã lên 156.0.8078.96.
• Rà các trình duyệt cùng nhân Chromium khác trong tổ chức, vì chúng thường nhận bản vá tương ứng muộn hơn Chrome vài ngày.

Quy luật chung của các vụ zero-day trên trình duyệt, đã được phân tích trong bài lỗ hổng zero-day trên trình duyệt web và cách hacker xâm nhập, là khoảng thời gian từ lúc bản vá ra đến lúc mã khai thác được dùng rộng rãi ngày càng ngắn. Kẻ tấn công so sánh bản cũ với bản mới để lần ra chỗ được sửa, rồi nhắm vào những máy chậm cập nhật.

Những hiểu lầm hay gặp sau mỗi đợt vá khẩn

“Tôi dùng chế độ ẩn danh nên không sao”

Chế độ ẩn danh chỉ không lưu lịch sử, cookie sau khi đóng cửa sổ; nó chạy cùng một bộ máy hiển thị trang web như cửa sổ thường, nên lỗi trong thành phần XML vẫn ảnh hưởng y hệt. Bài viết về việc trình duyệt ẩn danh có thực sự bảo mật giải thích rõ giới hạn này.

“Tôi chỉ vào trang quen thì không bị”

Trang quen cũng có thể chèn quảng cáo từ bên thứ ba, hoặc bị xâm nhập để cài mã độc. Lỗ hổng cần người dùng thao tác không có nghĩa là bạn phải bấm vào thứ gì đáng ngờ; đôi khi chỉ cần trang tải một tệp được dựng sẵn.

“Phần mềm diệt virus sẽ chặn”

Phần mềm diệt virus có thể phát hiện một số mẫu khai thác đã biết, nhưng không thay thế được việc sửa lỗi ở gốc. Bản vá của nhà phát triển vẫn là lớp bảo vệ chính.

Thói quen giúp đỡ phải chạy theo từng đợt vá

Có vài thiết lập nhỏ khiến lần vá sau nhẹ nhàng hơn. Hãy tắt Chrome hoàn toàn ít nhất mỗi tuần một lần thay vì chỉ gập máy. Gỡ những tiện ích mở rộng không còn dùng, vì mỗi tiện ích là thêm một đoạn mã có quyền đọc trang web bạn mở. Trên điện thoại, bật tự động cập nhật ứng dụng trong Play Store khi kết nối Wi-Fi. Và nếu một tổ chức hay đồng nghiệp gửi “tệp cập nhật Chrome” qua email hoặc tin nhắn, đó gần như chắc chắn là lừa đảo, vì Chrome chỉ cập nhật qua chính trình duyệt hoặc kho ứng dụng.