Nagbabala ang CERT-In sa mga Gumagamit ng Chrome Habang Inaayos ng Google ang 37 Kahinaan sa Seguridad, Kabilang ang Pitong Kritikal na Bug

Pinapayuhan ang mga Gumagamit ng Chrome sa Desktop na I-install ang mga Pag-aayos sa Seguridad

Naglabas ng babala noong Oktubre 14, 2026, ang Computer Emergency Response Team ng India, o CERT-In, tungkol sa mga kahinaan sa Google Chrome na maaaring magpahintulot sa mga umaatake na magpatakbo ng mapaminsalang code, makakuha ng sensitibong impormasyon o gambalain ang mga apektadong computer. Naglabas ang Google ng mga pag-aayos isang araw bago nito para sa 37 kahinaan sa seguridad, kabilang ang pitong itinuring na kritikal.

Ang mga apektadong bersyon ay ang mga release ng Chrome na mas luma sa 155.0.8059.79 sa Linux at 155.0.8059.79/.80 sa Windows at macOS. Dapat buksan ng mga user ang About page ng Chrome, tingnan kung may update at muling ilunsad ang browser kapag sinenyasan para makumpleto ang pag-install.

Sa anunsyo ng release para sa desktop ng Google, na may petsang Oktubre 13, nakalista ang pitong kritikal na kahinaan, 29 na itinuring na mataas ang antas at isa na katamtaman ang antas. Saklaw ng mga kahinaan ang graphics, mga dokumento, networking, mga password at software na nagpapatakbo sa mga tagubilin ng website.

Ayon sa Google, aabot ng ilang araw o linggo ang pamamahagi. Kaya maaaring kailanganing sumubok muli ng update ang sinumang tumingin agad habang unti-unting inilalabas ang release sa mas maraming computer.

Aling mga Bersyon ang Kailangang I-update?

Saklaw ng babala ng CERT-In ang desktop Chrome sa Windows, macOS at Linux. Nakalista rin sa babala ng Computer Emergency Response Team Coordination Centre ng Hong Kong, o HKCERT, ang parehong mga apektadong bersyon at inirerekomenda nitong i-install ang mga pag-aayos ng vendor.

• Linux: i-install ang Chrome 155.0.8059.79 o mas bago.
• Windows: i-install ang Chrome 155.0.8059.79/.80 o mas bago.
• macOS: i-install ang Chrome 155.0.8059.79/.80 o mas bago.

Mahalaga ang numero ng bersyon dahil sa pamamagitan ng update ng browser naihahatid ang mga pag-aayos. Maaari pa ring magbukas nang normal ng mga website ang isang computer kahit gumagamit ito ng bersyong may ganitong mga kahinaan. Para sa mga sambahayan, ang agarang hakbang ay tingnan ang bawat computer. Para sa mga organisasyon, kailangang alamin kung aling mga computer ang nakatanggap na ng release at natapos nang muling ilunsad.

Makikita ang bersyon ng Chrome sa Help, pagkatapos ay About Google Chrome, sa menu na bubuksan sa pamamagitan ng tatlong tuldok sa kanang itaas ng browser. Tinitingnan din sa page na iyon kung may available na update.

Apektado ng Pitong Kritikal na Kahinaan ang Mahahalagang Gawain ng Browser

Tinukoy ng Google ang CVE-2026-110152 bilang kritikal na buffer overflow sa ANGLE, isang graphics component na ginagamit ng Chrome. Ang buffer ay bahagi ng memory na inilalaan para paglagyan ng data. Nagkakaroon ng overflow kapag nagsusulat ang software lampas sa hangganan ng bahaging iyon, na maaaring makasira sa kalapit na data o magbigay-daan sa umaatake na pakialaman ang pagpapatakbo ng isang programa.

Ayon sa abiso ng release ng Google, iniulat ni Zhenpeng (Leo) Lin ng depthfirst ang kahinaan sa ANGLE noong Setyembre 30. Kabilang sa mga posibleng epekto nito ang pag-crash at pagpapatakbo ng mapaminsalang code.

Ang anim pang kritikal na kahinaan ay pawang mga error na use after free. Naaapektuhan ng mga ito ang mga component na Browser, PDF, Network, Core, SVG at Media. Saklaw ng mga component na ito ang mga function mula sa paghawak ng mga dokumento at graphics hanggang sa pakikipag-ugnayan sa network.

Nangyayari ang error na use after free kapag patuloy na ginagamit ng software ang isang bahagi ng memory matapos itong pakawalan. Isipin ang isang programang gumagamit pa rin sa lumang lokasyon ng imbakan na para bang naroon pa ang dating laman nito, kahit maaaring iba na ang laman ng espasyong iyon. Maaaring maimpluwensiyahan ng umaatake ang ipinalit na laman at gambalain o ilihis ang programa.

Nakalista ng Google ang anim na kritikal na pagkakakilanlan bilang CVE-2026-110149, CVE-2026-110136, CVE-2026-110161, CVE-2026-110165, CVE-2026-110148 at CVE-2026-110151. Kasama ng kahinaan sa ANGLE, bumubuo ang mga ito sa pito sa 37 pag-aayos, o humigit-kumulang isa sa lima.

Ano ang Maaaring Mangyari sa Apektadong Computer?

Babala ng CERT-In, maaaring humantong ang pagsasamantala sa mga kahinaan sa pagpapatakbo ng arbitraryong code, paglalantad ng sensitibong impormasyon o denial of service. Sa pang-araw-araw na pananalita, nangangahulugan ang mga epektong ito ng pagpapatakbo ng mga tagubiling pinili ng umaatake, paglalantad ng pribadong data o hindi maayos na paggana ng software.

Nakalista sa bulletin sa seguridad ng Chrome ng HKCERT, na may petsa ring Oktubre 14, ang dalawa pang posibleng epekto: pagtaas ng pribilehiyo at pag-bypass sa mga paghihigpit sa seguridad. Nangangahulugan ang una ng pagkakaroon ng mga pahintulot na lampas sa karaniwang ipinagkakaloob; ang ikalawa naman ay pag-iwas sa isang pananggalang na patakaran.

Itinuring ng HKCERT na Medium Risk ang bulletin, samantalang kritikal ang antas na itinakda ng Google sa pitong indibidwal na kahinaan. Magkaiba ang saklaw ng dalawang pagtatasa: binigyan ng HKCERT ng antas ang bulletin sa kabuuan, habang hiwalay na nilagyan ng label ng Google ang bawat kahinaan. Inirerekomenda ng HKCERT na ilapat ang mga pag-aayos.

Nakalista sa bulletin ng HKCERT ang mga CVE mula CVE-2026-110136 hanggang CVE-2026-110172, isang sunod-sunod na talaan na naglalaman ng lahat ng 37 pagkakakilanlan. Mga reference label ang mga CVE number na tumutulong sa mga gumagawa ng software at administrator na matunton ang iisang problema sa seguridad sa iba’t ibang abiso at update.

Apektado Rin ang mga Password, JavaScript at Dokumento

Kabilang sa 29 pag-aayos ng Google na mataas ang antas ng tindi ang mga problema sa V8, ang JavaScript engine ng Chrome. Nagbibigay ang JavaScript ng mga tagubilin na nagpapagana sa maraming interactive na website. Maaaring lumitaw ang kahinaan sa engine habang pinoproseso ng browser ang mga tagubiling ito.

Kabilang sa mga entry para sa V8 ang kahinaang type confusion na CVE-2026-110140 at dalawang kahinaang use after free na CVE-2026-110168 at CVE-2026-110169. Nangangahulugan ang type confusion na tinatrato ng software ang isang piraso ng data na para bang iba ang uri nito, na maaaring humantong sa hindi ligtas na mga operasyon sa memory.

May tatlong entry na mataas ang antas ng tindi para sa component na Passwords ng Chrome: isang pagtagas ng impormasyon at dalawang error na use after free. Kabilang sa iba pang pag-aayos ang mga component na Extensions, WebRTC, DOM, Canvas at PDFium. Sinusuportahan ng mga component na ito ang mga add-on, komunikasyon ng browser, istruktura ng webpage, pagguhit at pagproseso ng PDF.

Nakalista rin ng Google ang mga kahinaang may kaugnayan sa pahintulot sa ReadingMode, Installer, Updater at Mojo. Halimbawa, may kinalaman ang error sa awtorisasyon sa kung tama bang tinitingnan ng isang programa kung pinapayagan ang isang aksyon. Ang nag-iisang entry na katamtaman ang antas ng tindi ay kahinaang use after free sa FileSystem, na tinukoy bilang CVE-2026-110142.

Ipinapaliwanag ng lawak ng listahan kung bakit mahalaga ang update, hindi lang sa iisang uri ng paggamit sa browser. Nagpoproseso ang Chrome ng teksto, mga script, graphics, dokumento at data ng network, at inaayos ng release na ito ang mga kahinaan sa ilang proseso ng paghawak sa mga ito.

Sino ang Nag-ulat ng mga Kahinaan?

Iniulat ni Xinyang Ge ng Anthropic noong Setyembre 28 ang kahinaang CVE-2026-110169 sa V8 na mataas ang antas ng tindi, sa tulong ni Claude, ayon sa pagkilala ng Google. Tinutukoy sa abiso ang mananaliksik, organisasyon at tulong na ibinigay, ngunit wala itong karagdagang paglalarawan sa papel ni Claude.

Kinilala rin ng Google si Xinyang Ge sa ilang iba pang natuklasan, kabilang ang mga kritikal na kahinaan sa PDF, SVG at Media. Ang mga kritikal na error sa Browser, Network at Core ay iniulat mismo ng Google. Kabilang sa iba pang pinangalanang kontribyutor sina Hoyong Jin, M. Fauzan Wijaya, Aria Akhavan, Souma Ohsawa at Andrew Boni.

Ipinakikita ng mga petsa ng pagsisiwalat na pinagsama-sama sa release ang mga natuklasang ginawa sa loob ng ilang buwan. Kabilang sa listahan ng Google ang kahinaan sa Bindings na iniulat noong Marso 25 at mas bagong mga kahinaan sa Media na iniulat noong Oktubre 6. Magkasama itong tinutugunan sa stable release na ito.

Bakit Nananatiling Limitado ang Ilang Teknikal na Detalye

Ayon sa Google, maaaring manatiling limitado ang access sa ilang tala ng bug habang natatanggap ng mga user ang update. Ipinaliwanag ni Srinivas Sista, na naglathala ng anunsyo ng release para sa Google Chrome, ang patakaran ng kumpanya sa pagsisiwalat:

Maaaring manatiling limitado ang access sa mga detalye ng bug at link hanggang sa makapag-update gamit ang pag-aayos ang nakararami sa mga user.

Ayon din sa Google, maaaring manatiling may mga paghihigpit kapag naaapektuhan ng kahinaan ang isang library na ginagamit ng ibang proyektong hindi pa naaayos ang problema. Bahaging software na magagamit muli ang library, kaya maaaring kailanganing magtrabaho rito ang ilang pangkat ng mga developer para maitama ang iisang pinagmumulan ng error.

Pinapangalanan sa abiso ng release ang mga apektadong component at uri ng error, habang nililimitahan ang access sa ilan sa mas malalalim na teknikal na tala. Para sa mga user, ang praktikal na impormasyong kailangan ay ang bersyong naglalaman ng mga pag-aayos. Para sa mga administrator, nagbibigay ang mga pagkakakilanlan ng paraan para itugma ang release na ito sa pagsubaybay sa mga kahinaan at imbentaryo ng software.

Mula sa mga Ulat ng Pananaliksik Hanggang sa Babala sa Publiko

Ipinapakita ng mahahalagang petsa kung paano naging update sa browser ang mga indibidwal na natuklasan at kung paano ito sinundan ng mga pampublikong babala sa seguridad:

• Setyembre 28, 2026: Iniulat ni Xinyang Ge ng Anthropic ang CVE-2026-110169 sa V8, sa tulong ni Claude.
• Setyembre 30: Iniulat ni Zhenpeng (Leo) Lin ng depthfirst ang kritikal na buffer overflow sa ANGLE.
• Oktubre 1 hanggang 6: Nag-ulat ang Google at iba pang mananaliksik ng ilan pang kritikal at mataas ang antas ng tindi na kahinaang kasama sa release.
• Oktubre 13: Inanunsyo ng Google ang stable na update ng Chrome na naglalaman ng 37 pag-aayos sa seguridad.
• Oktubre 14: Naglabas ng babala ang CERT-In, at inilathala ng HKCERT ang bulletin nito tungkol sa parehong 37 pagkakakilanlan.

Simula ng pamamahagi ang petsa ng release ng Google. Dahil ilang araw o linggo ang nakasaad na panahon ng rollout, magpapatuloy ang paghahatid matapos ang anunsyo. Kaya makatutulong ang muling pagsuri sa mga computer na sa unang tingin ay walang available na update.

Paano Kumpletuhin ang Update

Maaaring simulan ng mga gumagamit ng Chrome ang proseso sa built-in na screen ng update ng browser. Simple ang mga hakbang:

• Buksan ang Chrome at piliin ang menu na may tatlong tuldok sa kanang itaas.
• Piliin ang Help, pagkatapos ay About Google Chrome.
• Hintaying tingnan at i-download ng Chrome ang available na update.
• I-save ang anumang hindi pa tapos na gawain at piliin ang Relaunch kung sinenyasan.
• Bumalik sa About page para tingnan ang naka-install na bersyon.

Mahalaga ang muling paglunsad dahil magkaibang hakbang ang pag-download ng update at pagpapatakbo sa na-update na browser. Maaaring maantala ang pag-install kapag bukas pa ang lumang session ng browser.

Dapat tingnan ng mga organisasyon ang mga naka-install na bersyon sa lahat ng desktop computer, kabilang ang mga device na bihirang isara ng mga user ang browser. Ang tiyak na layunin ay matiyak na gumagamit na ang mga computer ng release na naglalaman ng mga pag-aayos at natapos na ang anumang kinakailangang pag-restart.

Dapat muling sumubok ng update ang mga user na hindi pa nakakakita sa release habang nagpapatuloy ang rollout ng Google. Ilang araw o linggo ang inilaan sa pamamahagi ayon sa opisyal na abiso ng release, mas matagal kaysa sa pag-asang matatanggap ito ng bawat computer sa araw ng anunsyo.

Dapat Ding Abangan ng mga Gumagamit ng Edge ang mga Pag-aayos

Gumagamit ang Microsoft Edge ng Chromium, ang platform ng browser na pinagbabatayan din ng Chrome. Kaya maaaring kailanganin ding ayusin sa Edge ang ilang kahinaan sa shared software na ito.

Kinikilala ng Microsoft sa isang abisong may petsang Oktubre 13 ang pinakabagong mga pag-aayos sa seguridad ng Chromium at sinabing gumagawa ito ng update. Nang ilabas ang babala, hindi pa nailalabas ang katumbas na update sa seguridad para sa stable channel, at wala pang ibinigay na petsa ng release ang Microsoft.

Dapat tingnan ng mga gumagamit ng Edge kung may update mula sa Microsoft kapag naging available na ito. Kailangang tingnan nang magkahiwalay ng mga gumagamit ng parehong browser ang bawat isa: sa Google nanggagaling ang security release ng Chrome, samantalang sa Microsoft naman ang release para sa Edge.

Mahahalagang Punto

• Binabalaan ng CERT-In noong Oktubre 14, 2026, ang mga gumagamit ng desktop Chrome tungkol sa mga kahinaang maaaring maglantad ng data, gumambala sa software o magpahintulot sa pagpapatakbo ng mapaminsalang code.
• Inaayos ng release ng Google noong Oktubre 13 ang 37 kahinaan: pito ang kritikal, 29 ang mataas ang antas at isa ang katamtaman.
• Ang mga naayos na bersyon ay 155.0.8059.79 para sa Linux at 155.0.8059.79/.80 para sa Windows at macOS, o mas bagong release.
• Dapat piliin ng mga user ang Help, pagkatapos ay About Google Chrome, i-install ang update at muling ilunsad ang browser kapag sinenyasan.
• Ayon sa Google, maaaring abutin ng ilang araw o linggo ang pamamahagi. Wala pang inianunsyong petsa ang Microsoft para sa katumbas na stable update ng Edge.