江蘇
關鍵詞
漏洞
谷歌已正式將 Chrome 148 版本推廣至 Windows、Mac 和 Linux 的穩定版渠道，Linux 版本號為 148.0.7778.96，Windows 和 Mac 版本號為 148.0.7778.96/97。這是該瀏覽器近期歷史上安全級別最高的版本之一，一次更新就包含了 127 項安全修復。
在已解決的 127 個漏洞中，有 3 個被評為“嚴重”，24 個被評為“高”，還有相當一部分屬于“中”和“低”類別。
谷歌向負責任地披露漏洞的外部研究人員發放了超過 10 萬美元的漏洞賞金，其中一名研究人員因報告V8 中一個高危越界讀寫漏洞而獲得了 5.5 萬美元的獎勵。
Chrome 瀏覽器嚴重漏洞已修復
三個被評為“嚴重”級別的漏洞風險最高。CVE-2026-7896 是 Blink 渲染引擎中的一個整數溢出漏洞，由外部研究人員于 3 月 18 日報告，并獲得了 43,000 美元的賞金。
CVE-2026-7897 和 CVE-2026-7898 都是釋放后使用漏洞，一個在移動組件中，一個在 Chrome 遠程桌面（Chrome Remote Desktop）中，這兩個漏洞分別于 4 月 18 日和 4 月 20 日由 Google 內部報告。
釋放后使用漏洞尤其危險，因為它們可能允許攻擊者通過操縱已釋放的內存區域來執行任意代碼。
高危漏洞涵蓋了廣泛的攻擊面。CVE-2026-7899 是Chrome V8 JavaScript 引擎中的一個越界讀寫漏洞，由 Project WhatForLunch (@pjwhatforlunch) 報告，并獲得了此次更新中最高的個人獎勵 55,000 美元。
CVE-2026-7900 和 CVE-2026-7901 是ANGLE（圖形抽象層）中的堆緩沖區溢出和釋放后使用漏洞，每個漏洞的獎勵金額為 16,000 美元。
此外，KAIST黑客實驗室的JunYoung Park報告了V8中的越界內存訪問漏洞CVE-2026-7902，并因此獲得了8000美元的獎勵。總而言之，這些V8和ANGLE漏洞對通過惡意構造的網頁進行“路過式攻擊”構成了重大風險。
除了頂級缺陷之外，Chrome 148 還解決了 SVG、DOM、全屏、GPU、WebRTC、Skia、密碼、ServiceWorker、PresentationAPI、WebAudio 等一系列釋放后使用漏洞。
中等嚴重性問題還包括 V8 中的對象生命周期問題 (CVE-2026-7936)、WebRTC 中的類型混淆 (CVE-2026-7988) 以及 DevTools、Extensions 和 DirectSockets 中的策略執行不足。
值得注意的是，CVE-2026-8022 是 MHTML 中一個低嚴重性不當實現，它可能允許遠程攻擊者通過精心構造的 MHTML 頁面泄露跨域數據，當用戶被誘騙執行特定的 UI 手勢時，攻擊者可以利用該漏洞。
Google 對數十位獨立研究人員表示感謝，其中包括來自 KAIST 黑客實驗室、騰訊安全玄武實驗室、國立陽明交通大學安全與系統實驗室以及 Theori 的貢獻者。
根據 Chrome 的公告，檢測到的漏洞是使用 AddressSanitizer、MemorySanitizer、UndefinedBehaviorSanitizer、libFuzzer 和 AFL 等自動化模糊測試和清理工具發現的，這凸顯了谷歌主動安全測試基礎設施的規模。
Windows、Mac 和 Linux 用戶應立即更新至 Chrome 148.0.7778.96/97 以修復這些漏洞。
下一個穩定版本 Chrome 149 計劃于 2026 年 6 月 2 日發布。用戶可以通過“設置”→“幫助”→“關于 Google Chrome”進行更新，這將觸發自動下載和安裝。
安全圈
網羅圈內熱點 專注網絡安全
實時資訊一手掌握！
好看你就分享 有用就點個贊
支持「安全圈」就點個三連吧！
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
