觀點 · 資訊分享

Chrome V8 引擎漏洞被列入 CISA 已遭利用清單：看個惡意網頁就可能中招，快更新到 149.0.7827.103

CISA 在 6 月 9 日把 Chrome V8 的越界讀寫漏洞 CVE-2026-11645 加入 KEV 清單，處理期限為 6 月 23 日。Chrome 149.0.7827.103 之前的版本受影響。

一句話看懂：Chrome 的 V8 引擎有個漏洞，攻擊者只要讓你打開特製網頁就可能在瀏覽器裡執行程式碼；CISA 已列入遭利用清單，請更新到 149.0.7827.103 以上。

Chrome V8 漏洞已遭利用資訊圖卡：造訪惡意網頁就可能被執行程式碼，更新到 149.0.7827.103

先用白話講：V8 與沙盒是什麼？

把瀏覽器想成一間餐廳廚房，V8 是裡面負責照食譜（網頁裡的 JavaScript）做菜的大廚。沙盒則是廚房四周的玻璃隔間，就算做菜時出了狀況，也不該影響到餐廳其他地方。

這次的漏洞是大廚在處理食材時，讀寫到了「不該碰的櫃子」（越界讀寫），攻擊者可以利用這點，讓大廚照他寫的食譜做事，也就是在沙盒內執行他想要的程式碼。

版本比對：把 Chrome 的版本號與 149.0.7827.103 比較，低於這個版本就要更新
如果你的產品內嵌 Chromium（例如 Electron、WebView 類型的應用），需要確認它採用的 Chromium 版本是否包含修補，這不會隨使用者的 Chrome 一起更新
以 Chromium 為基礎的其他瀏覽器，更新時程各自不同，請留意各廠商的公告
官方資料沒有說明攻擊者實際如何利用、是否與其他漏洞串連，也沒有說明受害規模

瀏覽器漏洞的特點是「人人都用、人人都可能中」，而且攻擊方式很單純：騙你點開一個網頁。我會建議讓瀏覽器自動更新，並且定期重新啟動，因為很多人的 Chrome 開了好幾週不關，更新其實已經下載好了，只是沒重啟所以沒生效。

如果你幫客戶管電腦，這種已列入 CISA 遭利用清單的瀏覽器漏洞，優先順序應該排在一般更新之前。至於做 Electron 或內嵌瀏覽器的產品，也別忘了回頭檢查自己用的 Chromium 版本。

V8 是什麼？

Chrome 內負責執行網頁 JavaScript 的引擎。它是瀏覽器裡最常被攻擊的部分之一，因為每個網頁都會用到它。

「沙盒內執行程式碼」嚴重嗎？

沙盒是瀏覽器用來把網頁隔離起來的防護。漏洞讓攻擊者能在沙盒內執行程式，雖然還沒直接碰到系統，但常會與其他漏洞串連、進一步突破沙盒，所以仍然要盡快更新。這是一般性的說明，官方這則資料沒有提到實際的攻擊鏈。

怎麼更新？

在 Chrome 網址列輸入 chrome://settings/help 檢查更新，下載完成後重新啟動。其他以 Chromium 為基礎的瀏覽器（例如 Edge、Brave）要看各自何時採用修補，請留意它們的更新公告。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。