Google Chrome 153 修复了一个正在遭受攻击的零日漏洞，需要重启浏览器

周二，谷歌将 Chrome 153 推送至稳定频道。此次发布包含 230 项安全修复，其中谷歌将 5 项评定为“严重”级别。但页面下方的一行内容，其重要性远超任何严重性评级。 “谷歌已知晓针对 CVE-2026-87491 的漏洞利用程序已在野外出现，”该公司写道。

CVE-2026-87491 是 V8 引擎中存在的一个越界写入漏洞，Chrome 正是通过该 JavaScript 和 WebAssembly 引擎在网页上运行代码。越界写入会使程序写入其分配内存范围之外的区域，并覆盖相邻存储的数据。 据描述，远程攻击者只需利用一个经过特殊构造的 HTML 页面，即可在沙箱内执行代码。首尔国立大学 Compsec 实验室的郑智贤（Jihyeon Jeong）于 8 月 6 日报告了该漏洞，并获得了 2,500 美元的赏金。谷歌将其风险等级评定为中等。

同一引擎中两个被利用的漏洞，相隔五天

这是谷歌在2026年修复的第七个正在被积极利用的Chrome零日漏洞。谷歌五天前修复了第六个漏洞。该漏洞编号为CVE-2026-85046，属于类型混淆漏洞，同样存在于V8引擎中，且已有相关利用代码在流传。

其余五个高危漏洞位于其他组件中。其中四个位于WebGL（用于在浏览器中渲染3D图形的接口）中，其追踪编号分别为CVE-2026-87464、 CVE-2026-87488、CVE-2026-87438 和 CVE-2026-87527。 第五个漏洞 CVE-2026-87628 存在于 Cast 组件中，该组件负责将浏览器内容传输至电视。这份较长的漏洞清单中的贡献者名单本身就值得一看。谷歌列出了“Big Sleep”等自动漏洞检测系统，其中一项发现来自 OpenAI Codex Security。

为何您尚未收到补丁

谷歌在同一篇博文中表示，该更新“将在未来几天/几周内分批推送”。 Chrome 更新是分阶段推送的，而非同时推送至所有设备。第二点导致更多设备处于风险之中。Chrome 会在后台下载更新，但只有在浏览器完全关闭并重新打开后才会执行更新。谷歌自己的管理员文档中也明确了这一点，而系统默认会在一周后开始频繁提示重新启动。

任何将浏览器保持开启数天、同时打开数十个标签页且未重启的用户，仍在使用旧版本。在此状态下，"Chrome 已更新"的提示并不能说明实际运行的是哪个构建版本。

Edge、Brave、Opera 和 Vivaldi 也受到影响

V8 是 Chromium 的一部分，而 Chromium 是除 Firefox 和 Safari 之外几乎所有主流浏览器的基础。Microsoft Edge、Brave、Opera 和 Vivaldi 都会在各自的版本号下，按照各自的时间表发布相同的修复程序，因此需要分别进行检查。 我们以三星 Internet 为例，考察了补丁推送到厂商浏览器所需的时间。

Chrome 153 开启了两周一次的发布周期

此版本还调整了发布节奏。现在，Beta版和稳定版将在桌面端、Android和iOS平台上每两周发布一次，而非每四周一次。Chrome 154定于9月22日发布。这意味着重启提示的频率将翻倍，而安全修复的推送路径也将更短。

如何查看您的版本

打开 chrome://settings/help，浏览器会在此处检查更新并立即下载。如果出现“重新启动”按钮，点击该按钮才是关键步骤，因为在此之前的一切操作仅是下载过程。 随后显示的版本号应为 153.0.8010.36 或 .37，在 Linux 系统上则为 153.0.8010.36。

如果该行仍显示 152 版本且没有任何反应，说明分阶段推送尚未到达您的设备。 此时唯一的解决办法是稍后再试。利用恶意文件的攻击也不仅限于桌面浏览器。几天前，三星的图像解码器就出现了同样的问题，而 AI 浏览器在 8 月份也被证实存在此类漏洞。