漏洞概况
Google 于 2026 年 11 月 9 日发布 Chrome 稳定版更新（桌面版 157.0.8103.50/.51，Windows / Mac；157.0.8103.50，Linux；Android 版 157.0.8103.50），本次更新共修复 9 个安全问题。其中 CVE-2026-125350 是 XML 组件中的释放后重用（Use after free）漏洞，Google 评级为 High，由匿名研究员于 2026 年 11 月 6 日报告。
Google 在官方发布说明中明确表示：已确认针对该漏洞的利用代码存在于野外（Google is aware that an exploit for CVE-2026-125350 exists in the wild）。这是 Chrome 今年又一个被确认遭在野利用的零日漏洞。Google 未说明攻击者身份与受影响目标范围。
截至发稿：NVD 尚无该 CVE 的记录，未给出 CVSS 评分；该漏洞尚未列入 CISA 已知利用漏洞目录（KEV）。本文依据 Google 官方发布说明撰写，评级与版本信息以官方为准。
受影响版本与修复版本
- 受影响：Chrome 稳定版 157.0.8103.50 之前的桌面版（Windows、Mac、Linux）及对应 Android 版。
- 修复版本：Windows / Mac 157.0.8103.50/.51，Linux 157.0.8103.50，Android 157.0.8103.50；扩展稳定版用户同样应升级到对应最新版本。
- 同批修复：本次更新还修复了另外 8 个安全问题，包括 V8 类型混淆（CVE-2026-125344）、GPU 越界写（CVE-2026-125348）、文件系统授权不当（CVE-2026-125347）等，升级到同一版本即可一并覆盖。
自查步骤
- 查看当前版本：在 Chrome 地址栏输入
chrome://settings/help，页面会显示当前版本号并自动检查更新。 - 升级并重启：如版本号低于 157.0.8103.50（Windows / Mac 为 .50 或 .51），等待自动下载完成后按提示重启浏览器，重启后才算完成修复。
- 确认升级结果：重启后再次打开
chrome://settings/help，确认版本号已达到或高于修复版本，且页面显示“Chrome 已是最新版本”。 - 多设备同步检查：同一账号登录的 Windows、Mac、Linux 与 Android 设备需逐台确认，不要只升级主力机。
- 企业环境：管理员应通过统一的浏览器版本管理确认全网 Chrome 已升级到修复版本，无法立即升级的设备建议临时限制访问不可信网页。
说明
释放后重用属于内存安全类漏洞，概念上是程序在释放一块内存后又继续使用它，攻击者可通过构造特定网页内容触发异常。由于 Google 已确认野外存在利用代码，普通用户最稳妥的应对就是尽快把浏览器升级到修复版本，不需要其他额外操作。
本文只讲受影响版本、修复版本与自查步骤，不涉及利用细节。版本与评级信息来源为 Google Chrome Releases 官方博客 2026 年 11 月 9 日“Stable Channel Update for Desktop”及“Chrome for Android Update”。