Chromium: CISA đưa CVE-2026-125350 vào KEV, yêu cầu ưu tiên khắc phục

CVE-2026-125350

CISA đưa CVE-2026-125350, lỗi use-after-free trong thành phần XML của Chromium, vào KEV và xác nhận lỗ hổng đang bị khai thác thực tế. Chrome, Edge và Opera có thể bị ảnh hưởng; hãy kiểm tra phiên bản, cập nhật theo hướng dẫn nhà cung cấp và lưu ý hạn CISA 2026-11-24.

Tóm tắt nhanh
CISA đưa CVE-2026-125350 vào KEV; lỗ hổng use-after-free trong thành phần XML của Chromium đang bị khai thác thực tế.
Google Chrome, Microsoft Edge và Opera có thể bị ảnh hưởng; các nhánh phiên bản cụ thể chưa được cung cấp.
Lỗi có thể cho phép thực thi mã tùy ý bên trong sandbox qua trang web được tạo đặc biệt.
Ưu tiên kiểm tra và cập nhật theo hướng dẫn nhà cung cấp; hạn khắc phục CISA là 2026-11-24.

Nội dung bài viết

CISA đã đưa CVE-2026-125350 vào danh mục KEV và xác nhận lỗ hổng đang bị khai thác thực tế. Thông tin cập nhật Stable Channel cho máy tính để bàn của Google Chrome là nguồn liên kết trong hồ sơ.

Tổng quan và thông tin kỹ thuật

CVE-2026-125350 là lỗi use-after-free trong thành phần XML của Chromium. Chromium là nền tảng trình duyệt mã nguồn mở được Google Chrome và một số trình duyệt khác sử dụng.

Thông tin	Chi tiết
Mã lỗ hổng	CVE-2026-125350
Phân loại	CWE-416, use-after-free
Trạng thái khai thác	CISA KEV; đang bị khai thác thực tế
Sử dụng trong chiến dịch ransomware	Chưa rõ (Unknown)

Phạm vi ảnh hưởng

Các trình duyệt sử dụng Chromium có thể bị ảnh hưởng, gồm Google Chrome, Microsoft Edge và Opera. Hồ sơ không xác định nhánh phiên bản bị ảnh hưởng hay phiên bản đã vá, vì vậy cần đối chiếu từng trình duyệt với hướng dẫn phát hành của nhà cung cấp.

Cơ chế và tác động

Lỗi use-after-free trong thành phần XML có thể bị khai thác từ xa thông qua một trang web được tạo đặc biệt. Tác động được xác nhận là thực thi mã tùy ý bên trong sandbox; hồ sơ không nêu tác động ngoài phạm vi này.

Tình trạng khai thác

CISA đã đưa CVE-2026-125350 vào KEV và hồ sơ xác nhận lỗ hổng đang bị khai thác thực tế. Thông tin về việc sử dụng trong chiến dịch ransomware được ghi là Unknown; đây không phải xác nhận lỗ hổng được dùng trong ransomware.

Kiểm tra hệ thống

Kiểm tra phiên bản Google Chrome đang cài:
```
Mở chrome://settings/help
```
Đối chiếu với hướng dẫn phát hành của Google. Nếu chưa xác nhận đã dùng bản khắc phục thì cần cập nhật.
Kiểm tra phiên bản Microsoft Edge đang cài:
```
Mở edge://settings/help
```
Đối chiếu với hướng dẫn cập nhật của Microsoft. Nếu chưa xác nhận đã dùng bản khắc phục thì cần cập nhật.
Kiểm tra phiên bản Opera đang cài:
```
Mở opera://about
```
Đối chiếu với hướng dẫn cập nhật của Opera. Nếu chưa xác nhận đã dùng bản khắc phục thì cần cập nhật.

Khắc phục và giảm thiểu

Ưu tiên xử lý khẩn cấp do lỗ hổng đang bị khai thác thực tế. Đánh giá mức độ phơi nhiễm Internet của từng tài sản.
Áp dụng biện pháp giảm thiểu theo hướng dẫn của nhà cung cấp và thực hiện cập nhật theo hướng dẫn phát hành tương ứng. Hồ sơ không nêu phiên bản vá cụ thể.
Tuân thủ BOD 26-04 và hướng dẫn Forensics Triage Requirements của CISA. Hạn khắc phục CISA là 2026-11-24; đây là hạn theo hướng dẫn CISA, không phải hạn bắt buộc cho mọi độc giả.
Với dịch vụ đám mây, thực hiện hướng dẫn BOD 26-04 áp dụng cho dịch vụ đó. Nếu không có biện pháp giảm thiểu, ngừng sử dụng sản phẩm.