觀點 · 資訊分享

Chrome 156 一次修 21 個安全漏洞：1 個嚴重、19 個高風險，記得按「重新啟動」

Google 推出 Chrome 156 穩定版（156.0.8078.79/.80），一次修補 21 個安全漏洞，其中 1 個是嚴重等級的 MediaStream 記憶體損毀。官方沒有提到已遭利用，但更新要重新啟動瀏覽器才會生效。

一句話看懂：Chrome 156 一次修補 21 個安全漏洞，其中 1 個是嚴重等級，更新後要重新啟動瀏覽器才算真的補好。

Chrome 156 修補 21 個安全漏洞資訊圖卡：1 個嚴重、19 個高風險，重新啟動瀏覽器更新才會生效

先用白話講：瀏覽器漏洞是什麼？

瀏覽器每天都在幫你打開陌生人寫的網頁，就像一位收發室人員每天拆開成百上千個不認識的包裹。如果拆包裹的流程有漏洞，某個特製的包裹就可能趁機做壞事，例如讓收發室人員把不該給的東西交出去。

瀏覽器安全更新就是把拆包裹的流程補強。差別在於：新流程要等收發室「換班」（也就是重新啟動瀏覽器）才會開始用。

Google 在 10 月 29 日發布 Chrome 穩定版與延伸穩定版更新：

依官方列表自行分類：

官方公告沒有提到任何漏洞已遭實際利用。

依官方列表自行統計，21 個裡面：

其中 12 個由 Google 內部發現，其餘 9 個來自外部研究人員回報。官方照例先限制漏洞細節，等多數使用者更新後才公開。

確認版本：網址列輸入 chrome://settings/help，或在指令列執行 google-chrome --version（Linux）
企業環境可以透過 Chrome 的管理政策設定重新啟動提醒與期限，細節請查 Chrome Enterprise 的政策文件
用 Electron、Puppeteer、Playwright 內建 Chromium 的專案，修補要等上游套件跟進新版 Chromium，記得追蹤相依套件的更新

這次沒有已遭利用的漏洞，算是「例行但不能拖」的更新。真正的風險通常不是沒下載，而是下載了卻一直沒重新啟動：很多人瀏覽器分頁一開就是好幾週，右上角的更新提示亮了也不理，等於修補一直擺在那裡沒用。

幫客戶維護辦公室電腦時，我會建議直接用群組原則設定重新啟動期限，比一台一台提醒有效。至於自己寫爬蟲或自動化測試、用 Puppeteer 這類工具的人，別忘了內建的 Chromium 也是瀏覽器，一樣要跟著升級。

怎麼確認我的 Chrome 已經更新？

在網址列輸入 chrome://settings/help，Chrome 會自動檢查更新。版本號是 156.0.8078.79 或更新就代表已修補；畫面出現「重新啟動」按鈕的話，要按下去才會生效。

這些漏洞已經被駭客利用了嗎？

Google 這次的公告沒有提到任何漏洞已遭實際利用。不過漏洞細節通常會在多數使用者更新後才公開，越早更新越安全。

我用 Edge、Brave 這類瀏覽器也要注意嗎？

它們同樣建立在 Chromium 上，通常會跟進修補，但時間各家不同。官方公告只談 Chrome，其他瀏覽器請看各自的更新說明。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。