Người dùng Chrome trên máy tính nên kiểm tra bản cập nhật trước khi tiếp tục mở các liên kết không rõ nguồn. Google đã ghi nhận khai thác CVE-2026-125350, một lỗi use-after-free trong thành phần XML; CISA đưa mã lỗi này vào danh mục Known Exploited Vulnerabilities ngày 10 tháng 11 năm 2026. Thông báo của Google Chrome Releases nêu bản 157.0.8103.50/.51 cho Windows và macOS, cùng bản 157.0.8103.50 cho Linux.

Trình duyệt Chrome và biểu tượng lá chắn bảo mật trên màn hình
Chrome trên máy tính trong quá trình kiểm tra cập nhật, ảnh minh họa.

Mức độ rủi ro của CVE-2026-125350

Hồ sơ NVD ghi điểm CVSS 3.1 là 8,8 và mô tả cuộc tấn công qua mạng không cần tài khoản hay quyền đặc biệt. Người dùng vẫn phải thực hiện thao tác, chẳng hạn mở một trang HTML được chuẩn bị cho cuộc tấn công. Các chỉ số về tính bí mật, toàn vẹn và khả dụng đều ở mức cao. Mô tả kỹ thuật cho biết mã có thể chạy bên trong sandbox của trình duyệt; dữ liệu này không đủ để kết luận kẻ tấn công đã kiểm soát toàn bộ máy tính.

Bản ghi KEV của CISA cho biết lỗ hổng đã bị khai thác, nhưng trường về hoạt động ransomware được ghi là Unknown. Vì vậy, dữ liệu công khai hiện chưa xác nhận ransomware đã dùng CVE-2026-125350. Đây là hai thông tin khác nhau: khai thác đã được ghi nhận không đồng nghĩa với việc mọi hình thức tấn công, mọi nạn nhân hoặc một chiến dịch ransomware cụ thể đều đã được xác định.

Biểu tượng Chrome cạnh ổ khóa và dấu hiệu cảnh báo bảo mật
Các biểu tượng mô phỏng việc kiểm tra rủi ro trình duyệt, ảnh minh họa.

Dữ liệu FIRST ngày 12 tháng 11 năm 2026 cho điểm EPSS khoảng 0,962%, được làm tròn thành 1,0%. FIRST giải thích EPSS là ước tính xác suất một lỗ hổng bị khai thác trong 30 ngày tiếp theo. Đây là công cụ ưu tiên xử lý theo rủi ro, không thay thế thông tin từ Google và CISA về việc CVE-2026-125350 đã có khai thác.

Người dùng kiểm tra trạng thái bảo mật của Chrome trên máy tính xách tay
Kiểm tra trình duyệt trên máy tính xách tay, ảnh minh họa.

Chrome cần đạt phiên bản nào?

Google công bố Chrome 157.0.8103.50/.51 cho Windows và macOS, còn Linux nhận bản 157.0.8103.50. Việc phát hành diễn ra theo từng đợt, nên một số máy chưa hiện nút khởi động lại ngay sau khi thông báo được đăng. Người dùng nên mở menu ba chấm ở góc trên bên phải, chọn Help rồi About Google Chrome, chờ trình duyệt kiểm tra và cài bản cập nhật.

Sau khi Chrome yêu cầu khởi động lại, hãy mở lại trang About Google Chrome để đọc phiên bản hiện tại. Nếu số phiên bản chưa đạt ngưỡng của Google, không nên suy đoán rằng máy đã được vá; cần kiểm tra lại sau khi trình duyệt hoàn tất cài đặt. Android và ChromeOS không nằm trong danh sách phiên bản máy tính nói trên, vì vậy cần xem kênh cập nhật tương ứng của từng nền tảng.

Người dùng mở phần cài đặt Chrome trên máy tính xách tay
Trang About Google Chrome dùng để kiểm tra và hoàn tất cập nhật, ảnh minh họa.
Sơ đồ kiểm tra phiên bản Chrome, khởi động lại và đối chiếu bản vá

Tại Việt Nam thì sao

Người dùng Chrome tại Việt Nam không cần tìm một gói cài đặt riêng theo quốc gia cho CVE-2026-125350. Máy tính cá nhân nên kiểm tra trực tiếp trong About Google Chrome, vì đây là nơi trình duyệt báo phiên bản đang chạy và trạng thái cập nhật. Khi trang yêu cầu khởi động lại, hãy lưu công việc, khởi động lại Chrome rồi mở lại cùng mục để đối chiếu số phiên bản. Không nên tải tệp được quảng cáo là bản vá Chrome từ liên kết trong email, tin nhắn hoặc nhóm mạng xã hội.

Với người lao động Việt Nam tại Đài Loan làm việc trên máy tính của doanh nghiệp, cách kiểm tra vẫn phụ thuộc vào chính sách của đơn vị quản lý thiết bị. Nếu Chrome được cài qua công cụ quản trị, người dùng nên gửi số phiên bản và ảnh trạng thái cập nhật cho bộ phận kỹ thuật thay vì tự cài một gói không rõ nguồn. Thông tin cần ghi gồm hệ điều hành, phiên bản Chrome, thời điểm kiểm tra và việc máy đã khởi động lại hay chưa. Bốn dữ liệu này giúp phân biệt trình duyệt chưa nhận bản phát hành với máy đã cài nhưng chưa khởi động lại.

Doanh nghiệp, trường học và cơ quan ở Việt Nam nên đưa trình duyệt vào danh sách tài sản cần rà soát. Có thể bắt đầu bằng các máy truy cập Internet, máy dùng tài khoản quản trị, máy nhận tệp hợp đồng hoặc mở liên kết từ bên ngoài. Danh sách không cần suy ra nguy cơ từ tên người dùng; chỉ cần ghi rõ thiết bị, người phụ trách, phiên bản hiện tại và trạng thái cập nhật. Máy không thể cập nhật ngay cần có lý do, người phê duyệt và mốc kiểm tra lại.

Luật số 24/2018/QH14 về an ninh mạng là văn bản nền tảng của Việt Nam về bảo vệ an ninh mạng. Nghị định số 53/2022/NĐ-CP quy định chi tiết một số nội dung của luật. Hai văn bản này không nêu phiên bản Chrome cần cài cho CVE-2026-125350; chúng là nguồn để tổ chức đối chiếu khung trách nhiệm và quy trình quản trị, còn bản vá cụ thể phải lấy từ Google.

Chỉ thị BOD 26-04 của CISA mô tả cách cơ quan liên bang Hoa Kỳ ưu tiên cập nhật theo mức độ phơi lộ, trạng thái KEV, khả năng tự động hóa khai thác và tác động kỹ thuật. Chỉ thị này áp dụng cho cơ quan liên bang Hoa Kỳ, không phải quy định chung cho mọi tổ chức ở Việt Nam. Tuy vậy, cách phân loại đó gợi ý một câu hỏi thực tế khi rà soát nội bộ: thiết bị nào đang mở ra Internet, thiết bị nào xử lý dữ liệu quan trọng, và thiết bị nào chưa thể cập nhật.

Trong trường hợp phát hiện Chrome mở trang lạ, tài khoản có hoạt động bất thường hoặc máy tự tạo kết nối không giải thích được, nhân sự phụ trách nên làm theo quy trình ứng cứu của tổ chức. Cần ghi lại thời điểm, tên thiết bị và nhật ký liên quan trước khi cô lập máy theo hướng dẫn kỹ thuật; không nên tự xóa dữ liệu hoặc cài thêm công cụ tải từ nguồn không xác định. Tính đến thời điểm bài viết được thực hiện, chúng tôi chưa tìm thấy văn bản chính thức của cơ quan chức năng Việt Nam đưa ra số liệu so sánh riêng cho CVE-2026-125350. Vì vậy, việc phân loại mức độ ưu tiên tại Việt Nam nên dựa trên hồ sơ Google, CISA, NVD, EPSS và cấu hình thật của từng đơn vị.

Doanh nghiệp nên xử lý theo thứ tự nào?

Quản trị viên nên lập danh sách Chrome trên máy trạm, máy chủ có giao diện quản trị và thiết bị dùng chung, sau đó tìm các phiên bản chưa đạt ngưỡng Google công bố. Những máy có khả năng truy cập từ Internet hoặc thường nhận tệp từ bên ngoài cần được kiểm tra sớm hơn. Mỗi lần cập nhật nên lưu phiên bản trước, phiên bản sau, thời điểm cài đặt và kết quả khởi động lại để tránh đánh dấu hoàn tất khi trình duyệt vẫn đang chờ thao tác.

KEV là cơ sở để nâng mức ưu tiên, còn điểm CVSS và EPSS giúp mô tả điều kiện cùng xác suất ước tính. Không nên dùng một điểm số để thay cho việc kiểm tra tài sản, cũng không nên suy ra tổ chức tại Việt Nam đã bị tấn công chỉ vì lỗ hổng có trong KEV. Nếu chưa thể cập nhật, đơn vị cần ghi rõ lý do và biện pháp tạm thời theo hướng dẫn của nhà cung cấp, rồi đặt lịch kiểm tra lại.

Biểu tượng Chrome và ổ khóa trong quy trình rà soát thiết bị doanh nghiệp
Rà soát phiên bản trình duyệt trong tổ chức, ảnh minh họa. Photo by panumas nikhomkhai on Pexels

Câu hỏi thường gặp

Chrome 157.0.8103.50 đã đủ chưa?
Đối với Linux, Google nêu 157.0.8103.50. Windows và macOS có các bản 157.0.8103.50/.51. Hãy đối chiếu đúng hệ điều hành trong thông báo của Google rồi kiểm tra lại sau khi khởi động lại trình duyệt.

CVE-2026-125350 có chắc chắn liên quan đến ransomware không?
Chưa có kết luận như vậy trong dữ liệu công khai. CISA ghi trường hoạt động ransomware là Unknown, trong khi bản ghi KEV cho biết lỗ hổng đã bị khai thác.

EPSS khoảng 1,0% có nghĩa là rủi ro thấp không?
Không nên đọc riêng con số này. EPSS là ước tính xác suất trong 30 ngày tiếp theo; Google và CISA đã công bố thông tin về khai thác thực tế, nên người dùng vẫn cần cập nhật theo phiên bản phù hợp.