情資內容

一、漏洞說明[1] [2] Google於2026 年 11 月 9 日發布 Chrome 桌面穩定版更新，共修補 8 項安全漏洞，其中 6 項為高風險、2 項為中風險。 (1).WebGL 未初始化資源高風險漏洞(CVE-2026-125345)：攻擊者可能利用特製網頁讀取沙箱外的記憶體。 (2).FileSystem 授權錯誤高風險漏洞(CVE-2026-125347)：攻擊者可透過社交工程誘使使用者開啟特製網頁，進而在沙箱外執行程式碼。 (3).Compositing 緩衝區溢位高風險漏洞(CVE-2026-125343)：攻擊者須先控制 Renderer 程序，再利用特製網頁於沙箱外執行程式碼。 (4).GPU 越界寫入高風險漏洞(CVE-2026-125348)：攻擊者可能利用特製網頁在沙箱外執行程式碼。 (5).V8 型別混淆高風險漏洞(CVE-2026-125344)：攻擊者可能利用特製網頁在 Chrome 沙箱內執行程式碼。 (6).XML 使用後釋放高風險漏洞（Use After Free）(CVE-2026-125350)：攻擊者可能利用特製網頁在 Chrome 沙箱內執行程式碼。 (7).GPU 未初始化資源中風險漏洞(CVE-2026-125349)：記錄指出，攻擊者若已控制 Renderer 程序，可能利用特製網頁讀取沙箱外的記憶體。 (8).GPU 未初始化資源中風險漏洞(CVE-2026-125342)：攻擊者可能利用特製網頁讀取沙箱外的記憶體。 二、已揭露攻擊活動說明[3] 1. CISA已將CVE-2026-125350納入漏洞利用清單。 三、SSVC漏洞處置決策方法：[3] CVE-2026-125345、CVE-2026-125349、CVE-2026-125342： 1. 利用狀況（Exploitation）: 尚未已知利用（none）。 2. 可否自動化利用（Automatable）: 否（no） 3. 技術影響（Technical Impact）: 部分控制（partial） CVE-2026-125347、CVE-2026-125343、CVE-2026-125348、CVE-2026-125344： 1. 利用狀況（Exploitation）: 尚未已知利用（none）。 2. 可否自動化利用（Automatable）: 否（no） 3. 技術影響（Technical Impact）: 完全控制（Total） CVE-2026-125350： 1. 利用狀況（Exploitation）: 已遭實際利用（Active）。 2. 可否自動化利用（Automatable）: 否（No） 3. 技術影響（Technical Impact）: 完全控制（Total）