Chrome 157 稳定版发布：修复 9 个安全漏洞，其中 1 个已有在野利用

谷歌 Chrome Releases 博客发布公告，Chrome 桌面稳定版更新至 Windows 和 Mac 的 157.0.8103.50/.51，以及 Linux 的 157.0.8103.50，将在未来几天到几周内陆续推送。公告称，这次更新包含 9 个安全修复，其中 7 个为高危（High）、2 个为中危（Medium）。谷歌还表示，知悉 CVE-2026-125350 的漏洞利用已在野外存在，这是本次更新最值得关注的一点。

修复了哪些漏洞

根据公告，7 个高危漏洞如下：

• CVE-2026-125345：WebGL 中的未初始化资源
• CVE-2026-125347：FileSystem 中的授权错误
• CVE-2026-125343：Compositing 中的缓冲区溢出
• CVE-2026-125348：GPU 中的越界写入
• CVE-2026-125344：V8 中的类型混淆
• CVE-2026-125346：XML 中的释放后使用（use after free）
• CVE-2026-125350：XML 中的释放后使用

2 个中危漏洞均为 GPU 中的未初始化资源，编号为 CVE-2026-125349 和 CVE-2026-125342。

报告来源

按公告标注，9 个漏洞中有 6 个由谷歌报告：

• CVE-2026-125346 由 Arni Hardarson（Neonix Security）于 2026-10-12 报告。
• CVE-2026-125342 由 Vo Duc Thang 于 2026-09-26 报告。
• CVE-2026-125350 由匿名人士于 2026-11-06 报告。

另一个中危漏洞 CVE-2026-125349 由谷歌于 2026-07-20 报告。

已有在野利用的漏洞

公告写明：「Google is aware that an exploit for CVE-2026-125350 exists in the wild.」即谷歌知悉该漏洞的利用已在野外存在。该漏洞属于 XML 中的释放后使用问题，报告时间为 2026-11-06。公告没有披露利用的具体情况。

公告同时说明，在多数用户完成更新之前，漏洞细节和相关链接的访问可能会受到限制；如果漏洞存在于其他项目同样依赖、且尚未修复的第三方库中，限制也会保留。

Extended Stable 渠道同步更新

2026 年 11 月 9 日（周一），谷歌另行发布 Extended Stable 渠道的更新，版本为 Windows 和 Mac 的 156.0.8078.96，同样将在未来几天到几周内陆续推送。这次更新包含 11 个安全修复，其中 10 个为高危、1 个为中危。

公告列出的高危漏洞中，包括与稳定版相同的 CVE-2026-125345、CVE-2026-125346、CVE-2026-125347 和 CVE-2026-125350。也就是说，上述已有在野利用的 CVE-2026-125350 同样出现在 Extended Stable 的修复清单中。

更新节奏

两份公告都说明，更新采用分批推送，不同用户收到更新的时间可能不同。稳定版公告还附有 157.0.8103.39 到 157.0.8103.50 之间的完整变更日志链接，需要了解本次构建全部改动的用户可前往查阅。

相关下载

• Chrome

来源

• https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop_018223192.html