Google đã phát hành Chrome 152.0.7977.82/.83 cho Windows và macOS, cùng bản 152.0.7977.82 cho Linux. Thông báo ngày 3/9/2026 xác nhận CVE-2026-85046 đã bị khai thác ngoài thực tế. Lỗ hổng nằm trong V8, bộ máy xử lý mã JavaScript của Chrome. Máy dùng bản thấp hơn mốc sửa cần được cập nhật và kiểm tra lại chuỗi phiên bản.

Hồ sơ của Cơ sở dữ liệu lỗ hổng quốc gia Mỹ (NVD) ghi Chrome trước 152.0.7977.82 thuộc phạm vi ảnh hưởng. Hồ sơ này cũng ghi Cơ quan An ninh mạng và An ninh Cơ sở hạ tầng Mỹ (CISA) đưa lỗ hổng vào danh mục KEV ngày 4/9/2026. KEV là danh sách các lỗ hổng có bằng chứng khai thác ngoài thực tế, không phải bảng xếp hạng mọi rủi ro phần mềm. Bản cập nhật và kết quả kiểm tra phiên bản vì thế cần nằm trong cùng một quy trình.

Máy tính xách tay mở trình duyệt cạnh biểu tượng ổ khóa, thể hiện bước kiểm tra bản cập nhật Chrome (ảnh minh họa)

Phiên bản nào nằm trong phạm vi ảnh hưởng

Hồ sơ CVE xác định Chrome trước 152.0.7977.82 là phiên bản bị ảnh hưởng. Google phát hành hai số bản dựng 152.0.7977.82 và 152.0.7977.83 cho Windows cùng macOS. Linux nhận bản 152.0.7977.82. Phiên bản cao hơn các mốc tương ứng cũng chứa bản sửa được Google công bố.

Hệ điều hành Phiên bản sửa lỗi do Google công bố Cách đối chiếu
Windows 152.0.7977.82 hoặc 152.0.7977.83 Chuỗi phiên bản bằng hoặc cao hơn một trong hai bản dựng
macOS 152.0.7977.82 hoặc 152.0.7977.83 Chuỗi phiên bản bằng hoặc cao hơn một trong hai bản dựng
Linux 152.0.7977.82 Chuỗi phiên bản bằng hoặc cao hơn 152.0.7977.82

Google cho biết đợt phát hành kéo dài từ vài ngày đến vài tuần. Hai máy cùng hệ điều hành vì thế chưa chắc thấy bản cập nhật vào cùng thời điểm. Thông báo này chỉ mô tả kênh ổn định của Chrome trên máy tính. Chrome cho Android và ChromeOS phải được kiểm tra theo thông báo của từng kênh.

Màn hình trình duyệt và lớp bảo vệ trước cùng sau khi cập nhật Chrome (ảnh minh họa)

Điểm CVSS 8,8 nói gì về lỗ hổng

Hồ sơ NVD hiển thị điểm 8,8 theo Hệ thống chấm điểm lỗ hổng chung (CVSS) 3.1 từ dữ liệu bổ sung do CISA cung cấp. Vectơ đánh giá mô tả đường tấn công qua mạng, độ phức tạp thấp và không đòi hỏi quyền có sẵn. Kẻ tấn công vẫn cần tương tác của người dùng, chẳng hạn khiến một trang HTML được mở. Chỉ số phạm vi không đổi cho biết thành phần bị tác động vẫn thuộc cùng một miền bảo mật.

Tác động tiềm tàng đối với tính bí mật, toàn vẹn và khả dụng đều được chấm ở mức cao. Bản ghi CVE mô tả khả năng thực thi mã do kẻ tấn công kiểm soát bên trong vùng cách ly của Chrome. Mô tả đó không đồng nghĩa kẻ tấn công tự động kiểm soát toàn bộ hệ điều hành. Google chưa công bố mục tiêu, quy mô hoặc chuỗi kỹ thuật của các vụ khai thác trong thông báo phát hành.

CVSS đo mức nghiêm trọng kỹ thuật chứ không đo xác suất một máy cụ thể bị tấn công. Trạng thái khai thác ngoài thực tế cung cấp tín hiệu khác với điểm 8,8. Khi hai dữ kiện được đọc cùng nhau, bản sửa này cần được ưu tiên hơn một lỗ hổng cùng điểm nhưng chưa có bằng chứng khai thác. Phiên bản sau cập nhật vẫn là bằng chứng trực tiếp cho biết bản sửa đã đến thiết bị.

Biểu tượng cảnh báo nằm giữa trình duyệt và thiết bị người dùng, thể hiện đường tấn công qua mạng (ảnh minh họa)

Cập nhật Chrome và xác nhận bản vá

Trang trợ giúp Chrome bằng tiếng Việt cho biết trình duyệt kiểm tra bản cập nhật khi trang Giới thiệu về Google Chrome được mở. Bản cập nhật thường được tải trong nền. Nút Chạy lại áp dụng bản mới đã tải. Chuỗi số bên dưới tên Google Chrome cho biết phiên bản đang hoạt động.

  1. Đường dẫn: Trang kiểm tra nằm trong trình đơn ở góc trên bên phải, mục Trợ giúp rồi đến Giới thiệu về Google Chrome.
  2. Trạng thái tải: Trang này tự kiểm tra bản mới và hiển thị tiến trình nếu có bản cập nhật.
  3. Áp dụng: Nút Chạy lại đóng rồi mở lại trình duyệt để chuyển sang bản vừa tải.
  4. Xác nhận: Sau khi Chrome mở lại, cùng trang này cần hiển thị bản dựng đạt mốc trong bảng phía trên.
Quy trình kiểm tra Chrome gồm mở trình đơn, vào Trợ giúp và Giới thiệu về Google Chrome, chờ cập nhật, chạy lại rồi đối chiếu phiên bản

Chỉ đóng rồi mở trình duyệt chưa chứng minh bản sửa đã được cài. Chuỗi phiên bản phải thay đổi đến mốc tương ứng hoặc bản cao hơn. Nếu trang vẫn hiện bản cũ, trạng thái tải và chính sách quản lý của thiết bị cần được kiểm tra. Tệp cài đặt từ trang không rõ nguồn gốc không thay thế kênh cập nhật chính thức.

Người dùng kiểm tra trang cập nhật tự động và cài đặt bảo mật trên máy tính (ảnh minh họa)

Tại Việt Nam thì sao

Thông báo phát hành của Google phân biệt bản sửa theo hệ điều hành, không chia theo quốc gia. Vì vậy, máy Windows, macOS và Linux tại Việt Nam đối chiếu cùng các mốc phiên bản trong bảng. Trang hỗ trợ bằng tiếng Việt cung cấp trực tiếp đường dẫn cập nhật trên giao diện Chrome. Người dùng Linux nhận bản mới qua trình quản lý gói, còn Chromebook nhận bản Chrome thông qua cập nhật ChromeOS.

Doanh nghiệp và trường học tại Việt Nam có thêm lựa chọn quản lý tập trung. Google cho biết Bảng điều khiển dành cho quản trị viên quản lý Chrome mà không mất thêm phí trên Windows, macOS, Linux, iPhone, iPad và Android. Công cụ này hiển thị báo cáo phiên bản, ứng dụng, tiện ích và các chính sách đang được thực thi. Quản trị viên cũng quản lý được chính sách cập nhật tự động của Chrome.

Cổng Thông tin điện tử Chính phủ ghi Luật An toàn thông tin mạng số 86/2015/QH13 có hiệu lực từ ngày 1/7/2016. Văn bản này là khung chung về an toàn thông tin mạng tại Việt Nam, không phải lịch vá riêng cho CVE-2026-85046. Mốc xử lý của KEV do CISA công bố cũng không phải thời hạn pháp lý tại Việt Nam. Đơn vị trong nước cần dùng quy trình nội bộ và yêu cầu áp dụng cho hệ thống của mình.

Một danh sách xử lý tối thiểu có thể gồm hệ điều hành, chuỗi phiên bản Chrome, người phụ trách, thời điểm cập nhật và kết quả kiểm tra lại. Báo cáo phiên bản từ công cụ quản lý tập trung giúp tìm máy còn dưới mốc sửa. Máy dùng chung, máy truy cập tài khoản quản trị và thiết bị xử lý dữ liệu nhạy cảm cần được tách thành nhóm để theo dõi. Hồ sơ hoàn tất chỉ nên đóng khi phiên bản sau khởi động lại đã được ghi nhận.

Tính đến ngày 5/9/2026, chúng tôi chưa tìm thấy thông báo chính thức về CVE-2026-85046 từ cơ quan chức năng Việt Nam. Chúng tôi cũng chưa tìm thấy số thiết bị bị khai thác hoặc thời hạn xử lý riêng trong nước. Khoảng trống đó không chứng minh chưa có thiết bị tại Việt Nam bị ảnh hưởng. Số liệu toàn cầu cũng chưa được Google công bố trong thông báo phát hành. Vì thế, mức độ phơi nhiễm trong nước chưa thể được lượng hóa từ các nguồn đã kiểm tra.

Doanh nghiệp nên xếp thứ tự cập nhật thế nào

CISA cho biết Chỉ thị ràng buộc BOD 26-04 áp dụng cho các cơ quan liên bang Mỹ. Chỉ thị xếp bản vá theo trạng thái KEV, mức phơi nhiễm tài sản, khả năng tự động hóa khai thác và tác động kỹ thuật. Doanh nghiệp tại Việt Nam hoặc Đài Loan không chịu thời hạn pháp lý từ văn bản này. Bốn tín hiệu vẫn tạo được một thứ tự kiểm tra có căn cứ cho đội vận hành.

Danh sách tài sản cần ghi đúng phiên bản trình duyệt thay vì chỉ ghi tên Chrome. Thiết bị truy cập hệ thống quản trị, hộp thư công việc hoặc dữ liệu nhạy cảm nên được nhận diện riêng. Đợt triển khai theo giai đoạn cần có báo cáo ngoại lệ cho máy chưa nhận bản mới. Người phụ trách phải kiểm tra lại phiên bản sau khi trình duyệt chạy lại.

Bản vá chặn đường khai thác đã biết trong mã cũ nhưng không xác định máy từng bị truy cập hay chưa. CISA yêu cầu kiểm tra khả năng xâm nhập trước khi vá trong các tình huống được chỉ định của cơ quan liên bang Mỹ. Với thiết bị doanh nghiệp có hoạt động bất thường, nhật ký và cảnh báo liên quan cần được giữ cho quy trình ứng phó sự cố nội bộ. Việc xóa dữ liệu trước khi kiểm tra có nguy cơ làm mất dấu vết phục vụ phân tích.

Nhân viên công nghệ theo dõi phiên bản trình duyệt trên nhiều thiết bị trong mạng doanh nghiệp (ảnh minh họa)

Câu hỏi thường gặp

Chrome thấp hơn 152.0.7977.82 có nằm trong phạm vi ảnh hưởng không?
Hồ sơ CVE ghi các phiên bản trước mốc này thuộc phạm vi ảnh hưởng. Windows và macOS cần đạt một trong hai bản 152.0.7977.82 hoặc 152.0.7977.83, còn Linux cần đạt 152.0.7977.82. Bản cao hơn các mốc tương ứng cũng chứa bản sửa được công bố.

Chrome báo đã là phiên bản mới nhất nhưng chuỗi số vẫn thấp hơn mốc thì sao?
Google cho biết đợt phát hành diễn ra trong vài ngày đến vài tuần. Thiết bị do tổ chức quản lý còn chịu chính sách do quản trị viên thiết lập. Chuỗi phiên bản nên được gửi cho bộ phận công nghệ thông tin thay vì cài tệp từ nguồn không rõ.

Khởi động lại Chrome có đủ để xác nhận đã vá không?
Khởi động lại chỉ áp dụng bản cập nhật đã được tải thành công. Trang Giới thiệu về Google Chrome phải được mở lần nữa để đọc chuỗi phiên bản đang chạy. Kết quả cần đạt mốc tương ứng với hệ điều hành trong bảng.

Thông báo này có bao gồm Chrome trên điện thoại và Chromebook không?
Thông báo ngày 3/9/2026 của Google mô tả kênh ổn định cho máy tính Windows, macOS và Linux. Android dùng kênh cập nhật ứng dụng riêng, còn Chromebook nhận Chrome qua bản cập nhật ChromeOS. Phiên bản trên hai nhóm thiết bị này cần được đối chiếu với thông báo riêng của Google.