Chrome 156 稳定版：353 项安全修复，含 6 个 Critical
Google 在 2026-10-20 发布 Chrome 156 稳定版，修复 353 个安全问题，其中 6 个 Critical。截图说“三个 critical”，与官方清单不符。6 个 Critical 中有 4 个由 Xinyang Ge 报告，其中 1 个注明借助 Claude 发现。
段子原句段子未提及，用户补充
- 编号
CVE-2026-113341CVE-2026-113279CVE-2026-113072CVE-2026-113280CVE-2026-113271CVE-2026-113303- 严重度
- Chrome 评级 Critical 6 个；CVE-2026-113072 的 CVSS 为 9.6
- 利用状态
- 未见利用未见利用：Google 未标记在野利用，CISA KEV 未收录。
- 对段子公司
- 段子没提浏览器。但公司有一批员工电脑，上面几乎一定装了 Chrome 或其他 Chromium 浏览器。
- 影响范围
- 156.0.8078.47 之前的 Windows、Mac、Linux 桌面版都受影响。官方推送要持续几天到几周。Edge、Brave 等 Chromium 浏览器和内嵌 Chromium 的应用要等各自厂商更新。
- 修复版本
- →Windows/Mac 156.0.8078.47/.48
- →Linux 156.0.8078.47
- →Android 156.0.8078.47
结论
Google 于 2026-10-20 发布 Chrome 156 稳定版，修复 353 个安全问题。[1]其中 Critical 6 个、High 61 个、Medium 197 个、Low 89 个。[1]修复版本是 Windows/Mac 156.0.8078.47/.48，Linux 156.0.8078.47。[1]Google 没有说明任何漏洞已被在野利用。[1] [3]截图说有“三个 critical”。官方清单是 6 个，截图的数字不对。[1]
事件经过
用户提供的截图来自一个 Telegram 运维频道。截图要求把 Chrome 更新到 156.0.8078.47/.48。
2026-10-20 13:09 PDT，Google 在 Chrome Releases 博客发布稳定版更新。[1]更新会在“未来几天或几周”内逐步推送。[1]同一天，Google 也发布了 Chrome for Android 156.0.8078.47。[2]
这次修复数量异常大。SecurityOnline 对比称，Chrome 155 稳定版只修了 37 个安全问题。[3]Chrome 156 大约是它的 10 倍。[3]
AI 工具在这次漏洞发现中占了很大比重。[1] [3]6 个 Critical 中，4 个由 Xinyang Ge 报告。[1]其中 CVE-2026-113271 注明为“Xinyang Ge (Anthropic), assisted by Claude”。[1]WebRTC 的 Critical 漏洞由 OpenAI Codex Security 报告。[1]
技术细节
6 个 Critical 漏洞如下。[1]
| 编号 | 组件 | 类型 | 报告者 | 报告日期 |
|---|---|---|---|---|
CVE-2026-113341 | Skia | 内存破坏 | 2026-10-03 | |
CVE-2026-113279 | Accessibility | 内存破坏 | Xinyang Ge | 2026-10-05 |
CVE-2026-113072 | CSS | 内存破坏 | Xinyang Ge | 2026-10-06 |
CVE-2026-113280 | Paint | 内存破坏 | Xinyang Ge | 2026-10-06 |
CVE-2026-113271 | Accessibility | 释放后使用（UAF） | Xinyang Ge (Anthropic)，借助 Claude | 2026-10-08 |
CVE-2026-113303 | WebRTC | 内存破坏 | OpenAI Codex Security (kylebot) | 2026-10-15 |
SecurityOnline 称，CVE-2026-113072 的 CVSS 评分是 9.6。[3]其余 5 个在该文中显示为 8.8 或待分析。[3]Chrome 自己的 Critical 评级与 CVSS 分数是两套体系。
这类漏洞的典型利用方式是诱导用户打开恶意网页。[3]Google 在多数用户完成更新前，会限制漏洞详情的访问。[1]
61 个 High 漏洞分布在 V8、ANGLE、WebGL、PDF、Navigation 和新的 Turbolev 编译器。[3]其中 ANGLE 一个组件就有十多个。[3]公开的最高奖金是 10,000 美元，对应 Site Isolation 的 UAF 漏洞 CVE-2026-113101。[3]
影响范围
受影响的是 156.0.8078.47 之前的 Windows、Mac 和 Linux 桌面版 Chrome。[3]Android 版需要更新到 156.0.8078.47。[2]
基于 Chromium 的浏览器要等各自厂商发布更新，例如 Edge 和 Brave。[3]Electron 等内嵌 Chromium 的桌面应用也有同样的问题。这是一般规律，本次未逐一核实。
截至 SecurityOnline 发文时，这些漏洞都不在 CISA KEV 目录中。[3]
时间线
- 2026-10-03，时区未披露Google 内部报告 Skia 漏洞 CVE-2026-113341。[1]
- 2026-10-05，时区未披露Xinyang Ge 报告第一个 Accessibility 漏洞 CVE-2026-113279。[1]
- 2026-10-08，时区未披露Xinyang Ge 借助 Claude 报告 Accessibility UAF CVE-2026-113271。[1]
- 2026-10-15，时区未披露OpenAI Codex Security 报告 WebRTC 漏洞 CVE-2026-113303。[1]
- 2026-10-20，时区未披露Google 发布 Chrome for Android 156.0.8078.47。[2]
- 2026-10-20 20:09 UTCGoogle 发布 Chrome 156 桌面稳定版，修复 353 个安全问题。[1]
- 2026-10-21，时区未披露SecurityOnline 汇总 6 个 Critical 漏洞，并称没有在野利用。[3]
修复与缓解
- 把桌面版 Chrome 更新到 156.0.8078.47 或更高版本，然后重启浏览器。[1] [3]
- 不要等分阶段推送。官方推送可能持续几天到几周。[1]企业环境用组策略或 MDM 强制更新，并设置重启期限。
- Android 设备通过 Google Play 更新到 156.0.8078.47。[2]
- 跟踪 Edge、Brave 等 Chromium 浏览器的对应更新。[3]
- 盘点内嵌 Chromium 的桌面应用，等待各自厂商的更新。
对段子中公司的影响
段子没有提到浏览器。但段子提到“全公司电脑都装了”内部 AI 工具，所以公司有一批员工电脑。这些电脑上几乎一定有 Chrome 或其他 Chromium 浏览器。
这次没有在野利用。所以它的优先级低于 LiteLLM 投毒。但 LiteLLM 1.107.0 的窃密程序本身就盯着浏览器保存的密码和 Cookie。在处理 LiteLLM 时，可以顺带把浏览器统一升级到 156，并强制重启。
存疑与未验证
- 截图写“三个 critical”。官方清单是 6 个。截图数字的来源不明。
- 官方博客页面直接抓取时只返回侧栏。本报告从同一博客的官方 Atom 源读取了正文。
- Android 版的发布信息只来自官方博客的搜索摘要。
- Chrome 155 的 37 个安全修复数字来自 SecurityOnline，未核对 Google 原文。[3]
- 内嵌 Chromium 的应用受影响情况未逐一核实。
参考资料
调研截止 2026-10-22 UTC+8 · 未验证的内容已在正文中标注 · 数字以原始来源为准