Cảnh báo 3,5 tỷ người dùng Chrome về lỗ hổng bảo mật Zero-Day mới được phát hiện

Google đã phát hành bản cập nhật khẩn cấp cho trình duyệt Chrome để vá hai lỗ hổng zero-day nghiêm trọng (CVE-2026-3909 và CVE-2026-3910) đang bị khai thác, khuyến cáo người dùng cập nhật và khởi động lại trình duyệt ngay để đảm bảo an toàn.
Google cho biết kể từ phiên bản Chrome 153, các bản cập nhật ổn định sẽ được phát hành hai tuần một lần, rút ngắn một nửa so với lịch trình trước đây. Trước đó, bản cập nhật ngày 10/3 đã bao gồm tới 29 bản vá bảo mật, trong khi bản cập nhật trước đó được phát hành ngày 3/3. Tuy nhiên, mới đây Google tiếp tục tung ra bản vá khẩn cấp nhằm khắc phục hai lỗ hổng zero-day mang mã CVE-2026-3909 và CVE-2026-3910, trong bối cảnh các công cụ khai thác đã xuất hiện ngoài thực tế.
Theo Google, cả hai lỗ hổng đều có mức độ nghiêm trọng cao theo hệ thống chấm điểm lỗ hổng phổ biến (CVSS) và ảnh hưởng đến các thành phần cốt lõi của trình duyệt Chrome. Đáng chú ý, các lỗ hổng này do chính Google phát hiện, thay vì các nhà nghiên cứu bảo mật bên ngoài như thường lệ.
Cụ thể, CVE-2026-3909 là lỗ hổng truy cập bộ nhớ ngoài phạm vi, có thể dẫn tới thực thi mã từ xa khi bị khai thác. Lỗi này nằm trong thư viện đồ họa Skia - thành phần được Chrome sử dụng để hiển thị giao diện người dùng và nội dung web. Kẻ tấn công có thể kích hoạt lỗ hổng chỉ bằng cách dụ người dùng truy cập vào một trang web độc hại.
Trong khi đó, CVE-2026-3910 xuất hiện trong V8 - công cụ JavaScript cốt lõi của Chrome, vốn từ lâu là mục tiêu phổ biến của tin tặc. Theo mô tả của OpenCVE, lỗ hổng này liên quan đến lỗi triển khai không phù hợp, có thể cho phép kẻ tấn công từ xa thực thi mã tùy ý trong môi trường sandbox thông qua một trang HTML được tạo sẵn.
Phòng An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao khuyến nghị người dùng cập nhật các phiên bản đã vá lỗi hiện tại là 146.0.7680.75/76 cho Windows và Mac, và 146.0.7680.75 cho Linux. Việc cập nhật kịp thời được xem là cách tốt nhất để giảm thiểu nguy cơ bị tấn công từ các lỗ hổng zero-day.