Chrome推送新安全补丁，修复高危漏洞提升用户上网防护能力

据谷歌官方安全团队10月25日发布的公开公告，旗下主流浏览器Chrome于当日推送最新版本安全补丁，针对近期被黑客团伙频繁利用的高危远程代码执行漏洞完成修复。该漏洞编号为CVE-2024-9874，CVSS评分为9.8，属于“临界高危”级别，攻击者可通过构造恶意网页代码，在用户无需主动下载或点击的情况下，远程获取浏览器全部权限，进而窃取个人数据、植入恶意程序，甚至接管用户设备。本次补丁覆盖Windows、macOS、Linux三大主流桌面端，以及Android、iOS两大移动端，建议所有Chrome用户在48小时内完成更新。

漏洞危害与利用现状

谷歌安全团队在公告中披露，CVE-2024-9874漏洞属于Chrome渲染引擎V8的内存损坏类漏洞，漏洞成因是引擎在处理特定JavaScript代码时，未对内存边界进行严格校验，导致攻击者可构造特定代码片段触发内存溢出，进而执行任意恶意指令。该漏洞自今年9月底被谷歌内部威胁监测团队发现以来，已被至少3个境外黑客团伙投入实际利用，主要针对金融、科技领域的企业用户，截至补丁发布前，全球范围内已有超过12万条未修复设备被标记为高风险。

补丁更新细节与覆盖范围

本次Chrome安全补丁对应的版本号为Windows 129.0.6668.58、macOS 129.0.6668.57、Linux 129.0.6668.57，移动端版本则为Android 129.0.6668.58、iOS 129.0.6668.58。与常规安全补丁仅修复单一漏洞不同，本次补丁同步修复了另外12个中低危安全漏洞，包括3个信息泄露漏洞、4个权限提升漏洞和5个跨站脚本漏洞，进一步提升整体防护能力。补丁采用静默更新机制，在多数用户关闭浏览器后重启时自动完成安装，无需手动触发，但部分第三方插件可能会干扰更新流程，导致更新失败。

用户防护建议与应对措施

针对本次高危漏洞，谷歌安全团队给出三项核心防护建议：一是用户可通过Chrome浏览器设置页面的“关于Chrome”选项手动检查更新，确认版本号与官方发布版本一致；二是在更新完成前，避免访问非信任网站，尤其是带有“下载”“登录”等诱导字样的链接；三是已遭受攻击的用户，应立即断开网络，修改所有账号密码，并使用专业安全软件进行全盘扫描。此外，安全厂商赛门铁克、卡巴斯基等也同步更新了病毒库，针对利用该漏洞的恶意代码提供实时拦截服务。

截至公告发布当日，Chrome官方数据显示，全球约62%的Chrome用户已完成自动更新，剩余用户中，约15%因网络环境限制未收到更新推送，另有23%的用户因关闭自动更新功能未完成更新。业内安全专家表示，Chrome作为全球市场份额第一的桌面浏览器，本次高危漏洞的修复，将大幅降低网络攻击的整体风险，建议用户尽快完成更新，同时开启浏览器的自动更新功能，避免因未及时修复漏洞遭受损失。

谷歌安全团队同时透露，后续将持续监测该漏洞的利用情况，并于11月中旬发布补充补丁，针对部分第三方插件引发的更新兼容问题进行优化。此外，团队还将扩大漏洞赏金计划的奖励范围，鼓励全球安全研究人员参与Chrome漏洞的挖掘与提交，进一步提升浏览器的安全防护水平。