网通社科技快报
谷歌3天内紧急修复Chrome高危0Day漏洞 已致远程代码执行
谷歌于2026年10月底紧急推送Chrome安全更新，修复一个已被确认在野利用的高危零日漏洞（CNVD-2026-42986）。该漏洞存在于Chrome内置Brotli压缩解压组件中，因对异常终止压缩流的内存状态校验缺失，导致越界写入，攻击者仅需诱导用户访问特制HTML页面即可触发远程代码执行（RCE），无需额外交互。漏洞CVSS基础评分为9.8分，属最高风险等级，影响Chrome for Windows、Mac、Android及Chrome OS全平台，覆盖版本为129.0.6668.100及更早，修复版本为129.0.6668.101及以上。
此次修复从漏洞上报到补丁发布仅用3天，是近年Chrome最快响应案例之一。国家信息安全漏洞共享平台（CNVD）披露，该漏洞本质为Brotli状态机在处理“未完成块”时指针未重置所致，属逻辑型内存破坏，非传统堆溢出或UAF，隐蔽性强、调试难度高。安全监测发现漏洞公开前已有两起定向攻击：一起针对制造企业供应链人员，另一起伪装成在线协作通知，均通过恶意Brotli压缩资源投递载荷；蜜罐系统亦捕获多IP高频探测行为，特征疑似APT组织。
谷歌同步修复了企业版管理后台组件OSS Agent Mesh（CNVD-2026-43013）的权限提升漏洞，并打包推送。专家提醒，除及时更新浏览器（可通过chrome://version核查版本），用户还可考虑禁用Brotli以缩小攻击面；企业管理员应强制更新并限制非必要扩展。值得注意的是，Brotli近年已多次曝出高危问题，反映第三方依赖库仍是浏览器安全薄弱环节。谷歌已启动‘Project Brotli-Safe’强化运行时检查与模糊测试，但短期内及时打补丁仍是核心防御手段。
此次修复从漏洞上报到补丁发布仅用3天，是近年Chrome最快响应案例之一。国家信息安全漏洞共享平台（CNVD）披露，该漏洞本质为Brotli状态机在处理“未完成块”时指针未重置所致，属逻辑型内存破坏，非传统堆溢出或UAF，隐蔽性强、调试难度高。安全监测发现漏洞公开前已有两起定向攻击：一起针对制造企业供应链人员，另一起伪装成在线协作通知，均通过恶意Brotli压缩资源投递载荷；蜜罐系统亦捕获多IP高频探测行为，特征疑似APT组织。
谷歌同步修复了企业版管理后台组件OSS Agent Mesh（CNVD-2026-43013）的权限提升漏洞，并打包推送。专家提醒，除及时更新浏览器（可通过chrome://version核查版本），用户还可考虑禁用Brotli以缩小攻击面；企业管理员应强制更新并限制非必要扩展。值得注意的是，Brotli近年已多次曝出高危问题，反映第三方依赖库仍是浏览器安全薄弱环节。谷歌已启动‘Project Brotli-Safe’强化运行时检查与模糊测试，但短期内及时打补丁仍是核心防御手段。