CERT-In Beri Amaran kepada Pengguna Chrome ketika Google Membaiki 37 Kelemahan Keselamatan, Termasuk Tujuh Pepijat Kritikal

Pengguna Komputer Desktop Disaran Memasang Pembaikan Keselamatan Chrome

Pasukan Tindak Balas Kecemasan Komputer India, CERT-In, mengeluarkan amaran pada 14 Oktober 2026 mengenai kelemahan Google Chrome yang boleh membolehkan penyerang menjalankan kod berniat jahat, mendapatkan maklumat sensitif atau mengganggu komputer yang terjejas. Google mengeluarkan pembaikan sehari sebelumnya bagi 37 kelemahan keselamatan, termasuk tujuh yang dikategorikan kritikal.

Versi yang terjejas ialah keluaran Chrome lebih awal daripada 155.0.8059.79 pada Linux dan 155.0.8059.79/.80 pada Windows dan macOS. Pengguna perlu membuka halaman Perihal Chrome, menyemak kemas kini dan melancarkan semula pelayar apabila diminta untuk menyelesaikan pemasangannya.

Pengumuman keluaran desktop Google, bertarikh 13 Oktober, menyenaraikan tujuh kelemahan kritikal, 29 yang dikategorikan tinggi dan satu sederhana. Kelemahan tersebut melibatkan grafik, dokumen, rangkaian, kata laluan dan perisian yang menjalankan arahan laman web.

Google berkata pengedaran mungkin mengambil masa beberapa hari atau minggu. Oleh itu, pengguna yang menyemak dengan segera mungkin perlu menyemak sekali lagi apabila keluaran itu sampai ke lebih banyak komputer.

Versi Mana yang Perlu Dikemas Kini?

Amaran CERT-In meliputi Chrome desktop pada Windows, macOS dan Linux. Pusat Penyelarasan Pasukan Tindak Balas Kecemasan Komputer Hong Kong, HKCERT, menyenaraikan versi terjejas yang sama dan mengesyorkan pemasangan pembaikan daripada vendor.

• Linux: pasang Chrome 155.0.8059.79 atau lebih baharu.
• Windows: pasang Chrome 155.0.8059.79/.80 atau lebih baharu.
• macOS: pasang Chrome 155.0.8059.79/.80 atau lebih baharu.

Nombor versi penting kerana pembaikan dihantar melalui kemas kini pelayar. Komputer masih boleh membuka laman web seperti biasa walaupun menjalankan versi yang mengandungi kelemahan ini. Bagi isi rumah, tugas segera ialah menyemak setiap komputer. Bagi organisasi, mereka perlu mengenal pasti mesin yang sudah menerima keluaran itu dan selesai dilancarkan semula seperti yang diperlukan.

Versi Chrome dipaparkan di bawah Bantuan, kemudian Perihal Google Chrome, dalam menu yang dibuka melalui tiga titik di bahagian kanan atas pelayar. Halaman itu juga menyemak sama ada kemas kini tersedia.

Tujuh Kelemahan Kritikal Menjejaskan Fungsi Teras Pelayar

Google mengenal pasti CVE-2026-110152 sebagai limpahan penimbal kritikal dalam ANGLE, komponen grafik yang digunakan oleh Chrome. Penimbal ialah ruang memori yang dikhaskan untuk menyimpan data. Limpahan berlaku apabila perisian menulis melepasi sempadan ruang itu, sekali gus berpotensi merosakkan data berdekatan atau membolehkan penyerang mengganggu cara program dijalankan.

Menurut notis keluaran Google, Zhenpeng (Leo) Lin di depthfirst melaporkan kelemahan ANGLE itu pada 30 September. Kesan yang mungkin berlaku termasuk ranap sistem dan pelaksanaan kod berniat jahat.

Enam kelemahan kritikal yang lain semuanya ialah ralat penggunaan selepas pembebasan memori. Kelemahan itu menjejaskan komponen Browser, PDF, Network, Core, SVG dan Media. Komponen ini merangkumi pelbagai fungsi, daripada mengendalikan dokumen dan grafik hinggalah berkomunikasi melalui rangkaian.

Ralat penggunaan selepas pembebasan memori berlaku apabila perisian terus menggunakan ruang memori selepas melepaskannya. Bayangkan program menganggap lokasi simpanan lama masih mengandungi data asal, walaupun ruang itu mungkin sudah digunakan untuk perkara lain. Penyerang mungkin dapat mempengaruhi kandungan baharu itu lalu mengganggu atau mengubah hala program.

Google menyenaraikan enam pengecam kritikal itu sebagai CVE-2026-110149, CVE-2026-110136, CVE-2026-110161, CVE-2026-110165, CVE-2026-110148 dan CVE-2026-110151. Bersama-sama kelemahan ANGLE, jumlahnya ialah tujuh daripada 37 pembaikan, atau kira-kira satu daripada lima.

Apa yang Boleh Berlaku pada Komputer Terjejas?

CERT-In memberi amaran bahawa eksploitasi boleh menyebabkan pelaksanaan kod arbitrari, pendedahan maklumat sensitif atau penafian perkhidmatan. Dalam bahasa mudah, kesan ini bermaksud menjalankan arahan yang dipilih penyerang, mendedahkan data peribadi atau menyebabkan perisian berhenti berfungsi dengan betul.

Buletin keselamatan Chrome HKCERT, yang turut bertarikh 14 Oktober, menyenaraikan dua lagi kesan yang mungkin berlaku: peningkatan keistimewaan dan pintasan sekatan keselamatan. Yang pertama bermaksud memperoleh kebenaran melebihi kebiasaan; yang kedua bermaksud melepasi peraturan perlindungan.

HKCERT memberikan buletin itu penarafan Risiko Sederhana, manakala senarai Google mengelaskan tujuh kelemahan individu sebagai kritikal. Kedua-dua penilaian menggunakan skop berbeza: HKCERT memberikan penarafan kepada buletin secara keseluruhan, sementara Google melabelkan setiap kelemahan secara berasingan. HKCERT mengesyorkan pengguna memasang pembaikan.

Buletin HKCERT menyenaraikan CVE-2026-110136 hingga CVE-2026-110172, iaitu rangkaian yang merangkumi kesemua 37 pengecam. Nombor CVE berfungsi sebagai label rujukan, membantu pembuat perisian dan pentadbir menjejak masalah keselamatan yang sama merentas notis dan kemas kini.

Kata Laluan, JavaScript dan Dokumen Turut Terjejas

Antara 29 pembaikan berkeparahan tinggi Google ialah masalah dalam V8, enjin JavaScript Chrome. JavaScript menyediakan arahan yang menjadikan banyak laman web interaktif. Kelemahan dalam enjin itu boleh berlaku ketika pelayar memproses arahan tersebut.

Senarai V8 merangkumi kelemahan kekeliruan jenis, CVE-2026-110140, dan dua kelemahan penggunaan selepas pembebasan memori, CVE-2026-110168 dan CVE-2026-110169. Kekeliruan jenis bermaksud perisian mengendalikan sesuatu data seolah-olah data itu daripada jenis lain, yang boleh menyebabkan operasi memori tidak selamat.

Komponen Passwords Chrome mempunyai tiga entri berkeparahan tinggi: satu kebocoran maklumat dan dua ralat penggunaan selepas pembebasan memori. Pembaikan lain melibatkan Extensions, WebRTC, DOM, Canvas dan PDFium. Komponen ini menyokong alat tambah, komunikasi pelayar, struktur halaman web, lukisan dan pemprosesan PDF.

Google turut menyenaraikan kelemahan berkaitan kebenaran dalam ReadingMode, Installer, Updater dan Mojo. Sebagai contoh, ralat kebenaran berkaitan sama ada program memeriksa dengan betul bahawa sesuatu tindakan dibenarkan. Satu-satunya entri berkeparahan sederhana ialah kelemahan penggunaan selepas pembebasan memori dalam FileSystem, yang dikenal pasti sebagai CVE-2026-110142.

Skop senarai itu menjelaskan sebab kemas kini ini penting, bukan hanya untuk satu aktiviti pelayaran tertentu. Chrome memproses teks, skrip, grafik, dokumen dan data rangkaian, dan keluaran ini membaiki kelemahan dalam beberapa laluan pemprosesan tersebut.

Siapa yang Melaporkan Kelemahan Ini?

Menurut penghargaan Google, Xinyang Ge dari Anthropic melaporkan kelemahan V8 berkeparahan tinggi CVE-2026-110169 pada 28 September, dengan bantuan Claude. Notis itu mengenal pasti penyelidik, organisasi dan bantuan yang terlibat, tetapi tidak memberikan penerangan lanjut tentang peranan Claude.

Google turut memberikan penghargaan kepada Xinyang Ge atas beberapa penemuan lain, termasuk kelemahan kritikal dalam PDF, SVG dan Media. Google sendiri melaporkan ralat kritikal Browser, Network dan Core. Penyumbang lain yang dinamakan termasuk Hoyong Jin, M. Fauzan Wijaya, Aria Akhavan, Souma Ohsawa dan Andrew Boni.

Tarikh pendedahan menunjukkan bahawa keluaran ini menghimpunkan penemuan yang dibuat dalam tempoh beberapa bulan. Senarai Google merangkumi kelemahan Bindings yang dilaporkan pada 25 Mac serta kelemahan Media lebih terkini yang dilaporkan pada 6 Oktober. Semuanya ditangani bersama dalam keluaran stabil ini.

Sebab Sesetengah Butiran Teknikal Masih Terhad

Google berkata akses kepada sesetengah rekod pepijat mungkin kekal terhad sementara pengguna menerima kemas kini. Srinivas Sista, yang menerbitkan pengumuman keluaran bagi Google Chrome, menjelaskan dasar pendedahan syarikat itu:

Akses kepada butiran pepijat dan pautan mungkin kekal terhad sehingga majoriti pengguna menerima kemas kini pembaikan.

Google turut berkata sekatan boleh diteruskan apabila kelemahan menjejaskan pustaka yang digunakan oleh projek lain yang belum membaikinya. Pustaka ialah perisian boleh guna semula, jadi ralat asas yang sama mungkin memerlukan tindakan daripada beberapa pasukan pembangunan.

Notis keluaran itu menamakan komponen terjejas dan jenis ralat, sambil mengehadkan akses kepada sesetengah rekod teknikal yang lebih terperinci. Bagi pengguna, maklumat praktikalnya ialah versi yang mengandungi pembaikan. Bagi pentadbir, pengecam tersebut membolehkan keluaran ini dipadankan dengan penjejakan kelemahan dan inventori perisian.

Daripada Laporan Penyelidikan kepada Amaran Awam

Tarikh-tarikh penting menunjukkan bagaimana penemuan individu membawa kepada kemas kini pelayar dan seterusnya amaran keselamatan awam:

• 28 September 2026: Xinyang Ge dari Anthropic melaporkan CVE-2026-110169 dalam V8, dengan bantuan Claude.
• 30 September: Zhenpeng (Leo) Lin di depthfirst melaporkan limpahan penimbal ANGLE yang kritikal.
• 1 hingga 6 Oktober: Google dan penyelidik lain melaporkan beberapa lagi kelemahan kritikal dan berkeparahan tinggi yang disertakan dalam keluaran itu.
• 13 Oktober: Google mengumumkan kemas kini Chrome stabil yang mengandungi 37 pembaikan keselamatan.
• 14 Oktober: CERT-In mengeluarkan amarannya, dan HKCERT menerbitkan buletin yang meliputi 37 pengecam yang sama.

Tarikh keluaran Google menandakan permulaan pengedaran. Tempoh pelancaran yang dinyatakan, iaitu beberapa hari atau minggu, bermakna pengedaran akan berterusan selepas pengumuman. Oleh itu, pemeriksaan susulan berguna bagi komputer yang pada mulanya tidak menunjukkan kemas kini tersedia.

Cara Menyelesaikan Kemas Kini

Pengguna Chrome boleh memulakan proses melalui skrin kemas kini terbina dalam pelayar. Langkah-langkahnya mudah:

• Buka Chrome dan pilih menu tiga titik di bahagian kanan atas.
• Pilih Bantuan, kemudian Perihal Google Chrome.
• Benarkan Chrome menyemak dan memuat turun kemas kini yang tersedia.
• Simpan kerja yang belum selesai dan pilih Lancarkan Semula jika diminta.
• Kembali ke halaman Perihal untuk menyemak versi yang dipasang.

Pelancaran semula penting kerana memuat turun kemas kini dan menjalankan pelayar yang telah dikemas kini ialah dua langkah berasingan. Sesi pelayar lama yang dibiarkan terbuka boleh melambatkan penyelesaian pemasangan.

Organisasi perlu menyemak versi yang dipasang pada komputer desktop mereka, termasuk peranti yang penggunanya jarang menutup pelayar. Matlamatnya adalah untuk mengesahkan bahawa mesin menjalankan keluaran yang mengandungi pembaikan dan sebarang mula semula yang diperlukan telah selesai.

Pengguna yang belum melihat keluaran itu perlu menyemak semula sepanjang tempoh pelancaran Google. Notis rasmi keluaran menyatakan pengedaran mungkin mengambil masa beberapa hari atau minggu, iaitu tempoh lebih panjang berbanding jangkaan bahawa setiap komputer akan menerimanya pada hari pengumuman.

Pengguna Edge Juga Perlu Menantikan Pembaikan

Microsoft Edge menggunakan Chromium, platform pelayar yang turut menjadi asas Chrome. Oleh itu, sesetengah kelemahan dalam perisian yang dikongsi itu mungkin memerlukan pembaikan dalam Edge juga.

Microsoft mengakui pembaikan keselamatan Chromium terkini dalam nasihat bertarikh 13 Oktober dan berkata pihaknya sedang mengusahakan kemas kini. Ketika amaran dikeluarkan, kemas kini keselamatan saluran stabil yang sepadan belum diterbitkan, dan Microsoft belum memberikan tarikh keluaran.

Pengguna Edge perlu menyemak kemas kini Microsoft apabila tersedia. Mereka yang menggunakan kedua-dua pelayar perlu menyemak setiap satu: Chrome menerima keluaran keselamatannya daripada Google, manakala Edge menerimanya daripada Microsoft.

Perkara Utama

• CERT-In memberi amaran kepada pengguna Chrome desktop pada 14 Oktober 2026 tentang kelemahan yang boleh mendedahkan data, mengganggu perisian atau membolehkan pelaksanaan kod berniat jahat.
• Keluaran Google pada 13 Oktober membaiki 37 kelemahan: tujuh kritikal, 29 berkeparahan tinggi dan satu sederhana.
• Versi yang telah dibaiki ialah 155.0.8059.79 untuk Linux dan 155.0.8059.79/.80 untuk Windows dan macOS, atau keluaran yang lebih baharu.
• Pengguna perlu memilih Bantuan, kemudian Perihal Google Chrome, memasang kemas kini dan melancarkan semula apabila diminta.
• Google berkata pengedaran mungkin mengambil masa beberapa hari atau minggu. Microsoft belum mengumumkan tarikh bagi kemas kini Edge stabil yang sepadan.