Ngày 03/11/2026, Google phát hành Chrome 157 lên kênh ổn định (Stable channel) cho Windows, Mac và Linux. Phiên bản cho máy tính mang số hiệu 157.0.8103.38/.39 trên Windows, Mac và 157.0.8103.38 trên Linux. Bản Chrome 157.0.8103.38 cho Android sẽ được phân phối dần trên Google Play trong những ngày tới.

Bản cập nhật xử lý 213 vấn đề bảo mật, trong đó 7 lỗ hổng bị Google xếp ở mức Nghiêm trọng (Critical). Trước đó vài ngày, công ty an ninh mạng Socket công bố 319 tiện ích mở rộng trên Chrome đã âm thầm thay đổi công cụ tìm kiếm mặc định của người dùng trong suốt một thập kỷ, với khoảng 13,4 triệu lượt cài đặt bị ảnh hưởng.

Vì vậy, người dùng Chrome nên làm ngay hai việc: cập nhật trình duyệt lên bản 157, sau đó rà soát lại các tiện ích đang cài.

Chrome 157 vá những lỗ hổng nào? 

Nhóm lỗi nguy hiểm nhất là các lỗ hổng cho phép thực thi mã từ xa bên ngoài vùng cô lập (sandbox). Qua lỗi này, chỉ một lần truy cập trang web độc hại cũng có thể khiến mã của kẻ tấn công chạy trực tiếp trên hệ điều hành mà không cần thêm bước khai thác phụ nào.

Đáng chú ý nhất là lỗ hổng CVE-2026-121229, một lỗi hư hại bộ nhớ trong ANGLE (lớp chuyển đổi đồ họa của Chrome) trên Android. Lỗi này cho phép tin tặc thực thi mã tùy ý bên ngoài sandbox bằng một trang HTML được thiết kế đặc biệt.

Bản cập nhật còn vá lỗ hổng Use-after-free trong tính năng tải trước Prerender (CVE-2026-121035) và lỗi tràn bộ đệm trong thành phần WebGPU Dawn (CVE-2026-121156). Cả hai lỗi đều có thể làm sập trình duyệt hoặc cho phép chạy mã độc.

Cách cập nhật Chrome và rà soát tiện ích

Chrome thường tự cập nhật, nhưng quá trình này có thể bị chậm nếu trình duyệt được để mở liên tục trong thời gian dài hoặc bị tiện ích mở rộng cản trở. Để cập nhật thủ công, bạn mở menu ba chấm ở góc trên bên phải, chọn Trợ giúp rồi chọn Giới thiệu về Google Chrome (About Google Chrome). Trình duyệt sẽ tự kiểm tra và tải bản mới. Khi tải xong, nhấn Khởi động lại (Relaunch) để hoàn tất.

Sau khi cập nhật, bạn gõ chrome://extensions vào thanh địa chỉ để xem danh sách tiện ích. Hãy gỡ ngay những tiện ích không rõ nguồn gốc hoặc có tên trong danh sách cảnh báo của Socket tại socket.dev/blog/searchjacked.

Tiếp theo, vào Cài đặt (Settings), chọn mục Công cụ tìm kiếm. Nếu Chrome báo có tiện ích đang kiểm soát thiết lập này, hãy kiểm tra và xóa tiện ích đó. Không thấy cảnh báo không có nghĩa mọi tiện ích đều an toàn. Bạn vẫn nên quét lại máy bằng công cụ bảo mật như Malwarebytes hoặc Kaspersky để tìm và loại bỏ tiện ích độc hại hay phần mềm nguy hiểm khác.

Theo nhà nghiên cứu John Tuckner của Socket, 319 tiện ích này thường giả làm công cụ chuyển đổi PDF, tra cứu sách hướng dẫn, tìm kiếm an toàn hoặc tìm kiếm AI. Chúng được quảng bá qua các mạng quảng cáo, trong đó có Google Ads. Toàn bộ truy vấn của người dùng bị chuyển qua máy chủ do bên vận hành kiểm soát, rồi mới trả kết quả về Yahoo hoặc Bing. Nhờ đó, kẻ đứng sau vừa thu thập được dữ liệu, vừa nhận tiền hoa hồng giới thiệu.

Dù nằm trên cửa hàng chính thức của Google, phần lớn tiện ích lại được đặt ở chế độ không công khai, nên không hiện ra khi tìm trong cửa hàng. Kẻ gian dẫn nạn nhân từ quảng cáo sang một trang đích, rồi cho cài đặt trên cửa hàng chính thức để tạo vỏ bọc đáng tin.

Rủi ro lớn nhất là bên vận hành có thể đọc được mọi nội dung tìm kiếm liên quan đến sức khỏe, tài chính, công việc và đời tư. Mỗi truy vấn thường kèm một mã định danh riêng, cho phép theo dõi và liên kết hành vi của một người trong thời gian dài. Máy chủ trung gian cũng có thể chuyển hướng người dùng tới trang lừa đảo hoặc chứa mã độc, dù hiện chưa có bằng chứng các tiện ích này đã làm vậy.

Google cho biết bản Chrome 157 sẽ đến tay toàn bộ người dùng trong vài ngày đến vài tuần tới. Việc chủ động cập nhật và dọn tiện ích ngay từ bây giờ là cách đơn giản nhất để không bị khai thác trong khoảng thời gian này.