Google xác nhận bản Chrome 153.0.8010.36 cho Linux và 153.0.8010.36/.37 cho Windows, macOS đã được đưa vào kênh ổn định từ ngày 8/9/2026. CVE-2026-87491 trong bộ máy V8 đã có khai thác trên mạng. Chrome dưới mốc 153.0.8010.36 cần được kiểm tra và cập nhật.

Máy tính xách tay mở Chrome cạnh biểu tượng bảo mật, thể hiện bước kiểm tra bản cập nhật (ảnh minh họa)

Lỗ hổng ảnh hưởng đến ai

Hồ sơ của Cơ sở dữ liệu lỗ hổng quốc gia Mỹ (NVD) mô tả CVE-2026-87491 là lỗi ghi dữ liệu vượt giới hạn trong V8, bộ máy xử lý JavaScript của Chrome. Nội dung web được tạo đặc biệt có thể kích hoạt đường lỗi khi người dùng mở trang. Bài viết không trình bày mã khai thác; mốc xử lý thực tế là chuỗi phiên bản đang chạy trên máy.

NVD ghi điểm CVSS 3.1 là 8,8, thuộc mức cao. Mô hình chấm điểm cho thấy đường tấn công đi qua mạng, không cần tài khoản nhưng vẫn cần tương tác của người dùng. Các tác động được chấm ở mức cao đối với tính bí mật, toàn vẹn và khả dụng. Điểm này mô tả mức nghiêm trọng kỹ thuật, không xác nhận một máy cụ thể đã bị xâm nhập.

Chrome cần đạt phiên bản nào

Google công bố các mốc sửa theo hệ điều hành. Bản cao hơn mốc tương ứng cũng được xem là đã vượt qua ngưỡng của CVE này.

Hệ điều hành Phiên bản dưới ngưỡng Mốc cần đạt
LinuxThấp hơn 153.0.8010.36153.0.8010.36
WindowsThấp hơn 153.0.8010.36153.0.8010.36 hoặc 153.0.8010.37
macOSThấp hơn 153.0.8010.36153.0.8010.36 hoặc 153.0.8010.37

Thông báo của Google nói đợt phát hành Chrome 153 sẽ diễn ra trong vài ngày đến vài tuần. Vì vậy, việc chưa thấy nút cập nhật chỉ cho biết bản sửa chưa xuất hiện trên thiết bị tại thời điểm kiểm tra. Sau đó cần mở lại trang phiên bản để xác nhận, thay vì suy luận từ ngày Google phát hành.

Biểu tượng cảnh báo giữa trình duyệt và máy tính, thể hiện rủi ro từ lỗi trong thành phần V8 (ảnh minh họa)

Cách cập nhật và xác nhận

Google Chrome Trợ giúp bằng tiếng Việt hướng dẫn mở Trợ giúp rồi chọn Giới thiệu về Google Chrome để kiểm tra bản cập nhật. Chrome thường tải bản mới ở nền. Khi trang hiển thị nút chạy lại, người dùng cần khởi động lại trình duyệt để chuyển sang bản đã tải.

  1. Mở Chrome trên máy tính và chọn trình đơn ở góc trên bên phải.
  2. Chọn Trợ giúp, sau đó chọn Giới thiệu về Google Chrome.
  3. Chờ Chrome kiểm tra và tải bản cập nhật. Nếu có nút chạy lại, chọn nút đó.
  4. Mở lại trang Giới thiệu về Google Chrome và đối chiếu mốc trong bảng.
Quy trình mở trình đơn Chrome, vào Trợ giúp và Giới thiệu về Google Chrome, chờ cập nhật, chạy lại rồi đối chiếu phiên bản

Nếu chuỗi phiên bản vẫn thấp hơn mốc sửa, hãy khởi động lại Chrome rồi kiểm tra lại. Không nên tải tệp cài đặt từ trang không rõ nguồn gốc. Thiết bị do doanh nghiệp hoặc trường học quản lý cần chuyển chuỗi phiên bản, thời điểm cập nhật và mã thiết bị cho bộ phận công nghệ thông tin.

Tại Việt Nam thì sao

Chrome được cung cấp cho người dùng tại Việt Nam qua trang trợ giúp và kênh tải chính thức của Google. Google Chrome Trợ giúp nêu Chrome có thể được tải và cài đặt không mất phí trên máy tính, đồng thời hướng dẫn riêng cho Windows, macOS và Linux. Trang này yêu cầu người dùng đối chiếu hệ điều hành và kiến trúc bộ xử lý trước khi cài. Đây là thông tin về khả năng cung cấp phần mềm, không phải cam kết mọi thiết bị tại Việt Nam sẽ nhận bản vá cùng lúc.

Với máy Windows hoặc macOS ở Việt Nam, người dùng không cần tìm một bản vá riêng theo quốc gia. Mốc cần đối chiếu vẫn là 153.0.8010.36 hoặc 153.0.8010.37 theo thông báo của Google. Người dùng Linux nhận gói qua kênh quản lý phần mềm của hệ điều hành sau khi cài Chrome; Google cho biết trình duyệt được thêm vào trình quản lý gói để nhận thông báo cập nhật bảo mật. Nếu máy thuộc công ty, trường học hoặc phòng máy, người sử dụng không nên tự thay đổi chính sách cài đặt khi không có quyền quản trị.

Đơn vị tại Việt Nam nên ghi phiên bản Chrome theo từng máy, không chỉ ghi tên sản phẩm trong danh sách tài sản. Một bảng kiểm tra thực tế có thể gồm tên thiết bị, hệ điều hành, chuỗi phiên bản, người phụ trách, thời điểm kiểm tra và kết quả sau khi khởi động lại. Nhóm máy truy cập thư điện tử công việc, hệ thống quản trị, dữ liệu khách hàng hoặc tài khoản dùng chung nên được nhận diện riêng để ưu tiên kiểm tra. Cách sắp xếp này giúp đội vận hành tìm máy còn dưới mốc sửa mà không cần suy đoán từ địa chỉ IP hay vị trí người dùng.

Cổng Thông tin điện tử Chính phủ Việt Nam công bố Luật số 86/2015/QH13 về An toàn thông tin mạng, có hiệu lực từ ngày 1/7/2016. Đây là văn bản khung về an toàn thông tin mạng tại Việt Nam, không phải quy định đặt ra mốc cập nhật riêng cho CVE-2026-87491. Cơ quan, doanh nghiệp cần đối chiếu thêm yêu cầu áp dụng cho hệ thống của mình và quy trình xử lý sự cố nội bộ. BOD 26-04 của CISA cũng chỉ là chỉ thị dành cho cơ quan liên bang Mỹ, không phải thời hạn pháp lý tự động áp dụng tại Việt Nam.

Tính đến thời điểm biên soạn, chúng tôi chưa tìm thấy thông báo chính thức của cơ quan chức năng Việt Nam đưa ra số liệu so sánh cho trường hợp này. Chúng tôi cũng chưa tìm thấy số liệu công khai về số thiết bị ở Việt Nam đã bị khai thác CVE-2026-87491 hoặc một thời hạn xử lý riêng trong nước. Khoảng trống dữ liệu này không chứng minh chưa có máy nào bị ảnh hưởng. Khi cần xác định phạm vi, đơn vị nên lấy báo cáo phiên bản từ công cụ quản lý đang dùng, kiểm tra nhật ký liên quan theo quy trình nội bộ và ghi lại thời điểm đối chiếu.

Doanh nghiệp nên ưu tiên thế nào

CISA giải thích BOD 26-04 ưu tiên cập nhật dựa trên trạng thái KEV, mức phơi nhiễm của tài sản, khả năng tự động hóa khai thác và tác động kỹ thuật. Chỉ thị này áp dụng cho cơ quan liên bang Mỹ. Doanh nghiệp tại Việt Nam có thể dùng các tín hiệu đó như cách sắp xếp kiểm tra, nhưng không nên gọi chúng là thời hạn pháp lý trong nước.

Thiết bị mở dịch vụ ra Internet, lưu dữ liệu nhạy cảm hoặc dùng tài khoản quản trị nên được đưa vào nhóm đầu. Nếu có cảnh báo bất thường, cần giữ nhật ký và chuyển vụ việc theo quy trình ứng phó sự cố trước khi xóa dữ liệu. CISA hiện ghi hoạt động ransomware đã biết của CVE này là Unknown. Vì vậy, dữ liệu công khai ủng hộ việc cập nhật sớm nhưng chưa đủ để gán vụ khai thác cho một nhóm ransomware cụ thể.

Nhân viên theo dõi phiên bản trình duyệt trên nhiều thiết bị trong mạng doanh nghiệp (ảnh minh họa)

Câu hỏi thường gặp

Chrome thấp hơn 153.0.8010.36 có cần cập nhật không?
Có. NVD ghi các phiên bản trước mốc này thuộc phạm vi ảnh hưởng, còn Google đã xác nhận khai thác trên mạng. Windows và macOS cần đạt 153.0.8010.36 hoặc 153.0.8010.37; Linux cần đạt 153.0.8010.36.

EPSS khoảng 0,9% có nghĩa là có thể chờ không?
Không nên dùng con số này để trì hoãn. API EPSS của FIRST trả về 0,859% vào ngày 11/9/2026, là ước tính mô hình cho 30 ngày tiếp theo. Chỉ số này không phủ nhận việc Google đã ghi nhận khai thác thực tế và CISA đã đưa CVE vào KEV.

Khởi động lại Chrome đã đủ để xác nhận bản vá chưa?
Chưa. Khởi động lại chỉ áp dụng bản cập nhật đã tải thành công. Hãy mở lại Giới thiệu về Google Chrome và đọc chuỗi phiên bản đang chạy, rồi đối chiếu với hệ điều hành trong bảng.