Google發布Chrome 145更新，PDFium與V8兩項高風險漏洞恐致任意程式碼執行

Google於2月18日發布桌面版Chrome穩定通道更新，Windows與macOS版本為145.0.7632.109／110，Linux版為144.0.7559.109。Android版Chrome也釋出145.0.7632.109版本，並納入與桌面版對應的一批安全修補。

本次安全更新共修補3項資安漏洞，其中CVE-2026-2648與CVE-2026-2649列為高風險（High）等級，分別影響PDF處理引擎PDFium與JavaScript引擎V8。若遭利用，攻擊者可能在瀏覽器轉譯處理程序中執行任意程式碼。

Google表示，在多數使用者完成更新前，將暫時限制漏洞細節公開，以降低遭濫用風險。

根據Google公告及美國國家漏洞資料庫（NVD）說明，CVE-2026-2648為PDFium中的堆積緩衝區溢位（Heap buffer overflow）漏洞，CVSS風險分數為8.8分，屬於高風險（High）等級。當使用者開啟經特製的PDF檔案時，可能因邊界檢查不足而覆寫堆積記憶體內容，使攻擊者得以在瀏覽器轉譯處理程序內執行任意程式碼。

CVE-2026-2649為V8 JavaScript引擎中的整數溢位（Integer Overflow）問題，同樣被評為高風險（High），CVSS分數為8.8分。攻擊者可透過特製HTML頁面觸發整數處理錯誤，破壞堆積記憶體結構，使惡意程式碼得以在轉譯處理程序中執行。

第三項漏洞CVE-2026-2650則出現在媒體播放模組，屬於堆積緩衝區溢位（Heap buffer overflow）問題。該漏洞在處理經特製的影音內容或嵌入式媒體資料時，可能導致堆積記憶體遭破壞。Google將其列為中風險（Medium）等級。不過，NVD顯示其CVSS風險分數為8.8分，意即成功利用後可能對資料安全與系統運作造成明顯衝擊。

由於瀏覽器屬於高度暴露於網際網路的應用程式，建議使用者與企業儘速完成版本盤點與更新部署，以降低潛在攻擊風險。