呼籲桌面版使用者安裝 Chrome 安全修補程式
印度電腦緊急應變小組 CERT-In 於 2026 年 10 月 14 日發布警告，指出 Google Chrome 存在多項漏洞，攻擊者可能藉此執行惡意程式碼、取得敏感資訊，或干擾受影響的電腦。Google 前一天已發布修補程式，修復 37 項安全漏洞，其中 7 項列為重大漏洞。
目錄
受影響版本為 Linux 上早於 155.0.8059.79 的 Chrome，以及 Windows 和 macOS 上早於 155.0.8059.79/.80 的版本。使用者應開啟 Chrome 的「關於」頁面，檢查是否有更新，並在系統提示時重新啟動瀏覽器，以完成安裝。
Google 於 10 月 13 日發布的桌面版更新公告列出 7 項重大漏洞、29 項高風險漏洞及 1 項中度風險漏洞。這些弱點涉及圖形、文件、網路、密碼，以及負責執行網站指令的軟體。
Google 表示，更新部署可能需要數天或數週。因此，立即檢查的使用者，可能需要等更新推送至更多電腦後再檢查一次。
哪些版本需要更新？
CERT-In 的警告涵蓋 Windows、macOS 和 Linux 上的桌面版 Chrome。香港電腦保安事故協調中心 HKCERT 列出相同的受影響版本，並建議安裝廠商提供的修補程式。
- Linux：安裝 Chrome 155.0.8059.79 或更新版本。
- Windows：安裝 Chrome 155.0.8059.79/.80 或更新版本。
- macOS：安裝 Chrome 155.0.8059.79/.80 或更新版本。
版本號很重要，因為修補程式是透過瀏覽器更新提供。電腦即使仍能正常開啟網站，執行的版本也可能含有這些弱點。家庭使用者當下應檢查每一台電腦；組織則應確認哪些設備已收到更新，並完成必要的重新啟動。
在瀏覽器右上角點選三點選單，再依序選擇「說明」和「關於 Google Chrome」，即可查看 Chrome 版本。該頁面也會檢查是否有可用更新。
七項重大漏洞影響瀏覽器核心功能
Google 指出，CVE-2026-110152 是 ANGLE 的重大緩衝區溢位漏洞。ANGLE 是 Chrome 使用的圖形元件。緩衝區是預留來存放資料的一塊記憶體；當軟體寫入超出該區域邊界的資料時，就會發生溢位，可能破壞附近資料，或讓攻擊者干擾程式的執行方式。
根據 Google 的更新公告，depthfirst 的 Zhenpeng（Leo）Lin 於 9 月 30 日通報 ANGLE 漏洞。可能造成的後果包括程式當機及執行惡意程式碼。
其餘六項重大漏洞全是釋放後使用錯誤，分別影響 Browser、PDF、Network、Core、SVG 和 Media 元件。這些元件涵蓋從文件與圖形處理，到網路通訊等功能。
釋放後使用錯誤是指軟體釋放一塊記憶體後，仍繼續使用該記憶體。可以想像程式把舊的儲存位置當成內容仍屬於自己的空間，即使該處可能已存入其他資料。攻擊者可能操控後來寫入的內容，進而干擾或重新導向程式。
Google 列出的六項重大漏洞編號為 CVE-2026-110149、CVE-2026-110136、CVE-2026-110161、CVE-2026-110165、CVE-2026-110148 和 CVE-2026-110151。加上 ANGLE 漏洞，重大漏洞共占 37 項修補內容中的 7 項，約為五分之一。
受影響的電腦可能會發生什麼事？
CERT-In 警告，漏洞遭利用可能導致任意程式碼執行、敏感資訊外洩或阻斷服務。簡單來說，這些後果分別是執行攻擊者指定的指令、洩露私人資料，或使軟體無法正常運作。
HKCERT 同樣於 10 月 14 日發布的Chrome 安全公告還列出兩種可能影響：權限提升和繞過安全限制。前者是取得超出正常授權範圍的權限；後者則是規避防護規則。
HKCERT 將此公告評定為中度風險，Google 則將七項個別漏洞列為重大漏洞。兩者評估的範圍不同：HKCERT 評定的是整份公告，Google 則逐一標示各項漏洞。HKCERT 建議採取的措施是安裝修補程式。
HKCERT 的公告列出 CVE-2026-110136 至 CVE-2026-110172，這個編號範圍包含全部 37 項漏洞。CVE 編號是參考識別碼，方便軟體廠商和管理人員在不同公告與更新中追蹤同一項安全問題。
密碼、JavaScript 和文件也受到影響
Google 列出的 29 項高風險修補內容，包括 Chrome JavaScript 引擎 V8 的問題。JavaScript 提供指令，讓許多網站具備互動功能。瀏覽器處理這些指令時，可能因引擎弱點而出現問題。
V8 漏洞包括型別混淆漏洞 CVE-2026-110140，以及兩項釋放後使用漏洞 CVE-2026-110168 和 CVE-2026-110169。型別混淆是指軟體將某筆資料誤當成另一種型態處理，可能導致不安全的記憶體操作。
Chrome 的 Passwords 元件有三項高風險漏洞：一項資訊洩漏，以及兩項釋放後使用錯誤。其他修補內容涉及 Extensions、WebRTC、DOM、Canvas 和 PDFium。這些元件分別支援擴充功能、瀏覽器通訊、網頁結構、繪圖和 PDF 處理。
Google 也列出 ReadingMode、Installer、Updater 和 Mojo 的權限相關弱點。例如，授權錯誤是指程式未能正確確認某項操作是否獲准。唯一一項中度風險漏洞是 FileSystem 的釋放後使用漏洞，編號為 CVE-2026-110142。
漏洞清單涵蓋範圍廣泛，說明這次更新的重要性不只關乎單一瀏覽行為。Chrome 會處理文字、指令碼、圖形、文件和網路資料，而此次更新修復了數種資料處理流程中的弱點。
誰通報了這些漏洞？
根據 Google 的致謝資訊，Anthropic 的 Xinyang Ge 於 9 月 28 日通報 V8 高風險漏洞 CVE-2026-110169，並獲 Claude 協助。公告列出研究人員、所屬機構和協助來源，但未進一步說明 Claude 扮演的角色。
Google 也將多項其他發現歸功於 Xinyang Ge，包括 PDF、SVG 和 Media 元件中的重大漏洞。Browser、Network 和 Core 元件的重大錯誤則由 Google 自行通報。其他具名貢獻者包括 Hoyong Jin、M. Fauzan Wijaya、Aria Akhavan、Souma Ohsawa 和 Andrew Boni。
揭露日期顯示，這次更新彙整了數個月來發現的問題。Google 的清單包括 3 月 25 日通報的 Bindings 漏洞，以及 10 月 6 日通報的較近期 Media 漏洞。這些問題一併納入此次穩定版更新處理。
部分技術細節為何仍受限制？
Google 表示，在使用者收到更新前，部分錯誤紀錄可能仍會限制存取。代表 Google Chrome 發布更新公告的 Srinivas Sista 說明了公司的資訊揭露政策：
在多數使用者都已取得修補程式並完成更新之前，錯誤詳細資訊和連結可能會維持存取限制。
Google 也表示，如果漏洞影響其他專案正在使用、但尚未修補的程式庫，相關限制可能持續。程式庫是可重複使用的軟體，因此同一個底層錯誤可能需要多個開發團隊共同處理。
更新公告列出受影響的元件和錯誤類型，同時限制部分更深入技術紀錄的存取。對使用者而言，實用資訊是包含修補程式的版本；對管理人員而言，漏洞編號則可用來比對漏洞追蹤資料和軟體清冊。
從研究通報到公開警告
以下日期呈現個別漏洞如何納入瀏覽器更新，並進一步成為公開安全警告：
- 2026 年 9 月 28 日：Anthropic 的 Xinyang Ge 通報 V8 漏洞 CVE-2026-110169，並獲 Claude 協助。
- 9 月 30 日：depthfirst 的 Zhenpeng（Leo）Lin 通報 ANGLE 緩衝區溢位重大漏洞。
- 10 月 1 日至 6 日：Google 和其他研究人員通報多項納入此次更新的重大及高風險漏洞。
- 10 月 13 日：Google 宣布推出包含 37 項安全修補內容的 Chrome 穩定版更新。
- 10 月 14 日：CERT-In 發布警告，HKCERT 也發布涵蓋相同 37 個漏洞編號的公告。
Google 的更新日期標示部署開始時間。Google 表示更新推送可能需要數天或數週，因此公告發布後仍會持續推送；若電腦一開始顯示沒有可用更新，之後再次檢查會有所幫助。
如何完成更新
Chrome 使用者可從瀏覽器內建的更新頁面開始操作，步驟如下：
- 開啟 Chrome，點選右上角的三點選單。
- 依序選擇「說明」和「關於 Google Chrome」。
- 等待 Chrome 檢查並下載可用更新。
- 儲存尚未完成的工作，並在系統提示時選擇「重新啟動」。
- 返回「關於」頁面，確認已安裝的版本。
重新啟動很重要，因為下載更新與執行更新後的瀏覽器是兩個不同步驟。若舊的瀏覽器工作階段持續開啟，安裝完成時間可能延後。
組織應檢查所有桌上型電腦的安裝版本，包括使用者很少關閉瀏覽器的設備。具體目標是確認電腦已執行包含修補程式的版本，並完成任何必要的重新啟動。
尚未看到更新的使用者，應在 Google 推送期間再次檢查。官方公告表示部署可能需要數天或數週，這比預期每台電腦都會在公告當天收到更新的時間更長。
Edge 使用者也應留意修補程式
Microsoft Edge 使用 Chromium，也就是 Chrome 所採用的瀏覽器平台。因此，共用軟體中的部分漏洞也可能需要在 Edge 中修補。
Microsoft 在 10 月 13 日發布的安全公告中確認 Chromium 最新安全修補內容，並表示正在準備更新。警告發布時，對應的穩定版安全更新尚未推出，Microsoft 也未公布發布日期。
Edge 使用者應在 Microsoft 推出更新後檢查並安裝。若同時使用兩種瀏覽器，就必須分別檢查：Chrome 的安全更新由 Google 推送，Edge 的更新則由 Microsoft 推送。
重點摘要
- CERT-In 於 2026 年 10 月 14 日警告桌面版 Chrome 使用者，指出漏洞可能導致資料外洩、軟體受干擾或惡意程式碼執行。
- Google 於 10 月 13 日發布的更新修復 37 項漏洞：7 項重大、29 項高風險及 1 項中度風險。
- 修補版本為 Linux 的 155.0.8059.79，以及 Windows 和 macOS 的 155.0.8059.79/.80，或更新版本。
- 使用者應依序前往「說明」和「關於 Google Chrome」檢查並安裝更新，並在系統提示時重新啟動瀏覽器。
- Google 表示更新部署可能需要數天或數週。Microsoft 尚未公布對應 Edge 穩定版更新的日期。
