Chrome一次修353个漏洞，6个是严重级

Google 在 2026 年 10 月 20 日为 Windows、macOS 和 Linux 推送了 Chrome 156，一口气修掉 353 个安全漏洞 ，其中 6 个被列为严重级别，分布在图形、无障碍、渲染和通信功能里。 按发布说明，补丁版本是 Linux 的 156.0.8078.47，以及 Windows 和 Mac 的 156.0.8078.47/.48。更新会在接下来几天到几周内陆续到达用户，装完之后要重启浏览器，修复才会真正生效。 六个严重漏洞里，五个是内存损坏问题：Skia 的 CVE-2026-113341、Accessibility 的 CVE-2026-113279、CSS 的 CVE-2026-113072、Paint 的 CVE-2026-113280，以及 WebRTC 的 CVE-2026-113303。第六个 CVE-2026-113271 是 Accessibility 里的释放后使用（use-after-free）缺陷。 释放后使用指的是软件访问了已经释放的内存，由此带来安全风险。公开通告没有说明每个严重漏洞具体怎么被利用，也没有确认完整的攻击链，所以单看严重等级，并不能证明设备会被完全攻陷。 漏洞来源的署名里出现了 AI 工具的身影。Skia 的问题由 Google 内部报告；研究员 Xinyang Ge 报告了 Accessibility、CSS 和 Paint 的内存损坏问题。通告把 Accessibility 那个释放后使用漏洞记在 Anthropic 的 Ge 名下，并注明由 Claude 协助。OpenAI Codex Security 以 kylebot 的名义，在 10 月 15 日报告了严重的 WebRTC 漏洞。 这些署名说明 AI 工具已经和研究者在浏览器安全工作中并列出现。不过通告没有解释 AI 在每个发现里参与了多少，列出的致谢也不该被理解成每一项发现都完全自动化完成。 除严重问题外，Chrome 156 还修复了 SiteIsolation、FileSystem、ANGLE、V8、GPU、Network 等组件里的高危弱点。涉及的缺陷类型包括内存损坏、释放后使用、输入验证不当和越界读取。Google 为 CVE-2026-113101 给出了 10000 美元 奖励，这是 VinFast 的 Quyen Son 报告的 SiteIsolation 释放后使用漏洞。 这次更新紧接 10 月前几轮补丁之后，其中一轮修了 247 个漏洞，另一轮处理了 37 个 Chrome 漏洞，那些版本同样包含严重的内存安全问题。对浏览器打补丁来说，这是相当忙碌的一个月。 Google 的公告没有说这 6 个严重漏洞正在被实际攻击利用。公告还提到，在多数用户拿到修复、或受影响的第三方项目处理完共享问题之前，漏洞细节的访问可能仍受限制，关键的利用信息因此没有公开。 普通用户可以在浏览器菜单里选“帮助”，再点“关于 Google Chrome”，这个页面会自动检查更新，有提示时点“重新启动”即可。只下载补丁不算装完，Chrome 是在重启时才应用更新。托管设备的管理员可以通过 Chrome Enterprise 策略，提示或强制要求重启浏览器。 特别