Google修補今年第4個Chrome零時差漏洞
一句話版本
Google 又修補咗一個已被實際利用嘅 Chrome 零時差漏洞，而且今次係今年第 4 個，重點唔止係 Chrome 本身，而係成批 Chromium 系瀏覽器都要即刻升級。
點解重要
已被利用呢件事最關鍵，因為風險唔再係理論上可能出事，而係代表攻擊者已經有方法把漏洞變成真實攻擊，未更新嘅裝置就係現成目標。- 今次漏洞屬於
use-after-free記憶體安全問題，仲可以經由誘導使用者打開惡意網頁觸發，代表攻擊門檻對受害者而言好低，唔一定要下載檔案先會中招。 - 漏洞出喺
Dawn / WebGPU呢類圖形處理元件，說明瀏覽器攻擊面已經唔只係傳統 HTML 或 JavaScript，引擎底層圖形與媒體能力同樣係高危區。 - CISA 已經將
CVE-2026-5281納入 KEV 名單，對企業環境嚟講，呢個訊號等於「要當成已知在野攻擊處理」，唔適合慢慢排期。 - 今次一次更新修補
21個漏洞，其中19個屬高風險，表示唔應只聚焦零時差本身；如果只用「有冇 exploit」去排優先順序，會低估整體瀏覽器暴露面。 - 受影響嘅唔止 Google Chrome，凡係 Chromium-based 瀏覽器例如 Edge、Opera、Vivaldi 都要跟進，對團隊資產盤點好重要，否則容易以為「我哋冇用 Chrome 就冇事」。
- 漏洞分布集中喺
GPU / 圖形鏈同媒體處理，反映現代瀏覽器因為支援更多高效能功能，安全維護已經愈來愈似管理一個本地執行平台，而唔只係一個看網頁工具。 - 漏洞類型以記憶體錯誤為主，仲包括 heap overflow、越界讀取、整數溢位，呢啲通常都係進一步做到 RCE 或突破隔離防護嘅踏腳石，代表單一漏洞公告背後往往係更廣泛嘅工程風險。
- 呢個已經係 Google 今年第 4 個 Chrome 零時差，頻率本身就值得警惕，說明瀏覽器更新策略唔可以靠使用者自覺，而要靠集中管理、強制版本收斂同例行驗證。
我哋點睇
- 呢類消息對我哋最直接嘅意思係：瀏覽器要當成高風險執行環境管理，而唔係一般桌面軟件；補丁時效要以「幾日內完成」而唔係「下個 maintenance window」去想。
- 如果團隊有人用 Chromium 系瀏覽器做營運後台、Slack、內部工具或者管理介面，應該即刻核對版本，因為日常工作流本身就可能成為進入點。
- 我哋做內部平台或控制系統時，最好假設「操作員工作站嘅瀏覽器可能會被打穿」，所以高權限動作、憑證暴露面、管理介面存取，都要再做最少權限同隔離設計。
- 對 OpenClaw 呢類本地控制系統而言，營運指引應明確寫入瀏覽器升級與驗證步驟，因為真正可見效果係減少操作員工作站成為橫向移動入口嘅機會。