谷歌紧急修复Chrome在野0Day漏洞，Brotli解压组件内存破坏可致远程代码执行

谷歌近日紧急推送Chrome安全更新，修复了一个已被证实正在野外活跃利用的0Day漏洞（编号CNVD-2026-42986）。该漏洞存在于Chrome内置的Brotli压缩解压组件中，攻击者可构造恶意HTML页面，在用户访问时触发内存破坏，进而实现远程代码执行（RCE），完全接管受害设备。

根据国家信息安全漏洞共享平台（CNVD）披露的信息，该漏洞本质是Brotli解压过程中对内存状态的错误处理：当解压流处于特定中间状态时，程序未能正确校验后续输入数据的边界，导致越界写入。攻击链通常以钓鱼邮件或诱导性网页为入口，用户仅需打开含恶意脚本的页面即可触发漏洞，无需交互操作。由于Chrome默认启用Brotli压缩传输（尤其在HTTPS响应中常见），该攻击面广泛且隐蔽。

值得注意的是，此次漏洞从上报到补丁发布仅耗时3天——这是近年来Chrome安全响应速度最快的案例之一。谷歌安全团队在接获漏洞报告后迅速复现并验证其在野利用证据，随即启动紧急修复流程，于2026年10月底完成全平台版本推送。受影响版本覆盖Chrome for Windows、Mac、Android及Chrome OS，具体包括Chrome 129.0.6668.100及更早版本；修复版本为Chrome 129.0.6668.101及以上。

CNVD公告明确指出，该漏洞已被归类为“高危”，CVSS基础评分达9.8分（满分10分），属于“可远程利用、无需用户交互、可导致系统完全沦陷”的最严重级别。除主流桌面与移动平台外，嵌入式场景中的Chrome内核应用（如智能电视、车载信息娱乐系统）若未及时更新，同样面临风险。

从技术路径看，该漏洞并非传统意义上的堆溢出或UAF，而是Brotli解压器在状态机切换时对“未完成块”（incomplete block）的处理逻辑缺陷。当解压器遇到异常终止的压缩流（例如人为截断的Brotli数据），其内部缓冲区指针未被重置，后续继续写入时便可能覆盖相邻内存区域。研究者指出，此类问题在高度优化的压缩算法实现中尤为隐蔽，因Brotli为追求性能大量使用位操作与紧凑状态编码，调试与静态分析难度较高。

此次事件再次凸显现代浏览器安全架构的脆弱性。尽管Chrome采用沙箱（Sandbox）、站点隔离（Site Per Origin）、控制流防护（CFI）等多层防御机制，但一旦渲染引擎核心组件（如Brotli、V8、Skia）出现内存安全问题，仍可能突破沙箱限制。2023年以来，Brotli相关漏洞已多次引发关注：2023年CVE-2023-4863曾导致WebP图像解析RCE；2024年CNVD-2024-18722则暴露了Brotli在多线程解压时的竞争条件问题。本次漏洞表明，即便经过多年加固，压缩库仍是浏览器攻击链中的“薄弱环节”。

安全厂商监测显示，漏洞公开前已有至少两起定向攻击活动被关联。其中一起针对某跨国制造企业的供应链管理人员，攻击者通过伪造的供应商门户页面投递载荷；另一起则伪装成在线文档协作工具通知，诱导用户点击含恶意Brotli压缩资源的链接。蜜罐系统记录到多个IP地址在漏洞披露窗口期内高频探测Chrome版本号，行为特征与已知APT组织战术相似。

谷歌在修复该漏洞的同时，也同步更新了OSS Agent Mesh组件（CNVD-2026-43013），后者为Chrome企业版管理后台所用，存在权限提升风险。尽管该组件非默认安装，但企业环境部署广泛，谷歌将其与主浏览器补丁打包推送，体现其对纵深防御的重视。

对于普通用户而言，最有效的防护措施是立即检查Chrome版本并更新至最新版。用户可在地址栏输入chrome://version查看当前版本号，若低于129.0.6668.101，则应手动触发更新（设置→关于Chrome）。企业IT管理员需结合Chrome Enterprise策略，强制推送更新并禁用非必要扩展，降低攻击面。

值得警惕的是，此次漏洞的快速在野利用反映出攻击者对浏览器底层组件的持续深耕。随着主流漏洞缓解技术（如ASLR、DEP、Stack Canaries）普及，攻击者正将重心转向第三方依赖库——这些库往往由独立开源社区维护，审计资源有限，却深度集成于关键软件栈中。Brotli作为Google主导开发的压缩算法，其代码虽经内部审查，但仍难逃复杂逻辑带来的意外缺陷。

从行业趋势看，浏览器厂商正加速推进“内存安全重构”计划。Mozilla已在Firefox 130中将部分DOM解析模块迁至Rust；微软Edge则引入Chromium的Memory Safety Initiative（MSI）框架，对C++核心模块进行渐进式重写。谷歌亦在2026年Q3启动“Project Brotli-Safe”，旨在为Brotli添加运行时边界检查与模糊测试覆盖率强化。然而，历史经验表明，任何大规模重构都需数年才能覆盖全部路径，短期内依赖及时补丁仍是唯一可靠防线。

此次事件也提醒开发者：在集成第三方库时，不应仅依赖其官方声明的安全性，而需结合自身业务场景评估风险。例如，若网页应用无需高压缩率传输，可考虑禁用Brotli（通过服务器Header Accept-Encoding: gzip 显式指定），从源头规避潜在威胁。

目前，CNVD已收录该漏洞关联条目共7项（CNVD-2026-42986至CNVD-2026-43013），涵盖Chrome各平台变体及配套服务组件。安全研究人员建议，除更新浏览器外，还应监控系统异常进程与网络连接行为，尤其是无签名的子进程调用或非常规端口外联——这往往是RCE成功后的典型痕迹。

谷歌尚未公布漏洞提交者身份，但按惯例，其会向负责任披露者发放奖金。考虑到该漏洞的高危性与在野利用证据，奖励金额预计不低于$15,000美元。未来几周内，预计会有更多技术细节在Black Hat或DEF CON会议上披露，届时或将揭示攻击者使用的完整利用链与绕过沙箱的具体手法。

浏览器作为互联网的“操作系统”，其安全性直接关系到数十亿用户的数字资产。一次看似微小的压缩库缺陷，足以撬动整个终端防线。在零信任架构尚未全面落地的当下，保持软件即时更新，仍是抵御高级威胁最朴素也最有效的盾牌。