CVE-2026-125350：Chrome XML 零日漏洞在野外遭到利用

谷歌发布了一项紧急安全更新，以解决CVE-2026-125350，这是一个在谷歌Chrome的XML组件中已被用于真实攻击的高严重性零日漏洞。该问题被分类为使用后释放内存安全漏洞，于2026年11月6日匿名报告给谷歌。

谷歌于11月9日确认在野外存在该漏洞的漏洞利用。然而，该公司尚未披露攻击者如何交付漏洞利用、哪些组织或个人受到攻击，或该漏洞是否与其他浏览器或沙箱逃逸漏洞组合使用。底层Chromium漏洞的访问仍受限，用户更新安全补丁期间。

此修复包含在Windows和macOS的Chrome Stable 157.0.8103.50/.51和Linux的157.0.8103.50中。谷歌还发布了Windows和macOS的Extended Stable 156.0.8078.96版本，其中包含相同漏洞的修复。

联系我们

CVE-2026-125350是已知在2026年被利用的第八个Chrome零日漏洞，前有CVE-2026-2441、CVE-2026-3909、CVE-2026-3910、CVE-2026-5281、CVE-2026-11645、CVE-2026-85046和CVE-2026-87491。截至11月10日，SecurityWeek报告称CISA尚未将新披露的漏洞添加到其已知被利用漏洞目录中。

使用后释放漏洞发生在软件释放内存后继续引用这些内存时。根据受影响的代码和利用技术，这种内存损坏可能导致浏览器崩溃、数据损坏或攻击者控制的代码执行。谷歌未披露在观察到的攻击中实现的具体影响，因此防御者应避免假设存在一个已公开的全系统妥协链。

安全团队可以使用SOC Prime的AI-Native Detection Intelligence Platform来增强对浏览器利用、可疑子进程、有效载荷执行和随后的攻击者行为的检测覆盖，适用于SIEM、EDR、XDR和数据湖环境。

通过结合浏览器版本库存与端点和网络遥测来检测CVE-2026-125350，监控由Chrome启动的可疑进程、异常浏览器崩溃、意外的有效载荷下载以及潜在恶意网站访问后的后续利用行为。

检测内容可能并不总是适用于每个CVE。请检查SOC Prime Platform以获取当前覆盖范围。如果相关检测尚未发布，请继续检查，因为新的威胁情报和检测内容会被持续添加。

CVE-2026-125350分析

CVE-2026-125350影响 包含浏览器XML组件中使用后释放条件的易受攻击的Google Chrome版本。谷歌将该漏洞评为高严重性，但没有在其11月9日的通告中发布CVSS分数或向量。

一个使用后释放漏洞发生在内存被释放后，但软件随后试图访问相同的内存位置时。如果攻击者可以影响之后放入该内存中的内容，过时的引用可能会被操纵以改变程序行为。

在网络浏览器中，内存安全漏洞尤为重要，因为攻击者控制的内容通常会被复杂的浏览器组件处理。然而，谷歌尚未披露涉及的具体XML对象、触发错误所需的序列或攻击者使用的特定网页内容。

目前与该漏洞相关的Chromium问题是受限的。谷歌通常会限制对技术漏洞细节的访问，直到大多数用户获得补丁，并且当第三方软件中也存在缺陷时，限制可能会更长。

因此，许多重要的技术细节仍然未知。可用的来源没有确定利用是否仅需访问一个恶意页面、打开特制的XML内容、与页面互动或其他交付机制。它们也没有确认攻击者是在Chrome渲染器内部执行代码、逃避浏览器沙箱，还是与其他漏洞结合使用。

Hacker News注意到使用后释放漏洞可能导致数据损坏、崩溃或任意代码执行。这描述的是此类漏洞的一般安全影响，而不是谷歌确认的对CVE-2026-125350使用的确切利用链的描述。

尽管如此，谷歌的声明具有重大意义，因为该公司明确证实在野外存在漏洞利用。这意味着即使攻击的技术信息仍然有限，该漏洞也应被视为一个迫切修补的优先事项。

该漏洞于2026年11月6日匿名报告给谷歌。仅三天后，11月9日，谷歌便为Windows、macOS和Linux发布了修补的Stable版本，并承认正在积极利用中。

包含零日修复的更新总共解决了九个安全问题。其他高严重性缺陷包括WebGL中的未初始化资源问题、FileSystem中的授权不正确、Compositing中的缓冲区溢出、GPU中的越界写、V8中的类型混淆漏洞，以及另一种在XML中被追踪为CVE-2026-125346的使用后释放问题。另外还修补了两个中等严重性的GPU漏洞。

同一版本中出现的CVE-2026-125346值得与已积极利用的漏洞区分开来。两个问题都涉及Chrome XML功能中的使用后释放条件，但谷歌仅声明CVE-2026-125350在野外被利用。

谷歌发布了以下修补的Stable版本：

平台	修补的Chrome Stable版本
Windows	157.0.8103.50/.51
macOS	157.0.8103.50/.51
Linux	157.0.8103.50

Windows和macOS上的Extended Stable用户应升级到版本156.0.8078.96或更高版本。

由于Chrome更新是逐步推出的，已安装的浏览器可能不会立即收到修补的版本。因此，用户和管理员应验证实际运行的版本，而不是假设自动更新已经解决了问题。

CVE-2026-125350 PoC情况也需要谨慎。谷歌证实攻击者拥有一个有效利用，但谷歌与两份报告均未识别出有公开发布的概念验证可重现此利用。Chromium漏洞的细节仍受限，这限制了防御者重现漏洞或识别利用特定伪装的能力。

对于CVE-2026-125350检测，组织应从暴露管理开始。安全团队应对端点上的Chrome版本进行清查，并识别运行比修复版本旧的系统。面向互联网的服务器并不是这里的主要关注点；用于网页浏览的员工工作站和其他系统应立即关注。

端点遥测可以提供额外的狩猎机会。防御者应调查由Chrome产生的异常进程，特别是命令解释器、脚本引擎、系统程序或在浏览器活动后立即出现的新增可执行文件。

可疑行为可能包括意外执行PowerShell、cmd.exe、Windows Script Host、mshta.exe、rundll32.exe或其他来自Chrome相关进程树的实用程序。此类活动并不特定于该漏洞，本身不应被视为利用证据，但与易受攻击的浏览器版本和可疑浏览活动结合时可以提供有用的行为信号。

安全团队还应检查端点遥测，以发现异常的Chrome崩溃或渲染器错误，紧随其后的是新进程的执行、文件创建、凭据访问、持久性或网络连接。仅浏览器崩溃常见，因此需要与其他证据相关联。

Web代理、DNS、保护性Web网关和端点浏览器遥测可以帮助重建可疑执行之前的用户活动。如果怀疑受到攻击，尤其是由于谷歌没有发布有关观察到的攻击中使用的网站或基础设施的信息，组织应保留相关的浏览历史和网络日志。

目前没有厂商发布的CVE-2026-125350 IOC，如恶意域名、IP地址、有效载荷哈希或攻击者基础设施。谷歌也没有披露负责的威胁活动者、受影响的组织、活动范围或地理目标。

这种缺乏静态指标的情况使基于行为的监控和快速的浏览器版本管理尤为重要。仅基于哈希或已知域的狩猎无法可靠地确定环境是否遭遇利用，因为公共攻击基础设施仍然未知。

使用Chromium-based浏览器如Microsoft Edge、Brave、Opera和Vivaldi的组织应监测其各自厂商的公告，并在相关安全更新可用时进行部署。《骇客新闻》特别建议这些浏览器用户在厂商发布修复时进行修复。

CVE-2026-125350缓解措施

主要的修复措施是立即更新谷歌Chrome到修复版本并重启浏览器以确保运行的是更新后的构建。

谷歌已发布：

• Windows的Chrome 157.0.8103.50/.51
• macOS的Chrome 157.0.8103.50/.51
• Linux的Chrome 157.0.8103.50
• Windows和macOS的Chrome Extended Stable 156.0.8078.96

Chrome通常会自动下载更新，但用户必须重新启动浏览器，更新后的构建才能替换易受攻击的运行过程。《骇客新闻》建议打开 更多 → 说明 → 谷歌Chrome 并在更新安装后重新启动。

企业安全团队应采取以下措施：

1. 清查受管理端点上的Chrome版本。
2. 优先考虑仍在运行比修复后的Stable或Extended Stable构建旧版本的系统。
3. 通过企业浏览器管理工具强制或加速Chrome更新。
4. 验证在接收到补丁后浏览器实际上已重新启动。
5. 监控无法立即更新的端点，是否存在可疑的浏览器起源进程。
6. 通过现有的网络安全控制限制访问已知的恶意或新注册的Web基础设施。
7. 查看安全遥测，是否有在补丁部署之前发生的可疑Chrome活动。
8. 监测基于Chromium的浏览器的厂商公告，并在修复可用时更新这些产品。

由于野外已经发生了利用，补丁不应成为可能曝光系统的唯一响应。管理员应考虑查看易受攻击机器上的近期端点活动，尤其是安全工具记录了异常的Chrome崩溃、浏览器生成的命令执行、可疑下载或访问不受信任基础设施的情况。

如果发现可疑活动，应隔离受影响的端点并在修复之前保留浏览器、EDR、DNS、代理和网络遥测。调查人员应重建事件前的浏览器活动，并确定是否发生了任何后续载荷、凭据盗窃、持久性或横向移动。

组织还应验证浏览器是否在具有访问敏感Web会话、企业应用、云控制台或特权凭据权限的账户下运行。根据妥协证据，可能需要进行会话撤销和凭据旋转。

谷歌的限制披露意味着防御者目前没有足够的公开信息来为实际利用构建签名。这强化了补丁管理和通用利用检测的重要性，而不是等待可靠的网络或文件签名。