Chrome 156.0.8078.73 以下 Windows 版存在 UAF：CVE-2026-118330 需核实

2026 年 10 月 27 日，Google 将桌面稳定版 Chrome 更新至 156.0.8078.73/.74（Windows、macOS）和 156.0.8078.73（linux），并说明该版本包含 52 项安全修复、将在随后数天至数周内分批推送。随后，NVD 收录了 CVE-2026-118330，将其描述为 Windows 平台 Chrome 在 156.0.8078.73 之前的释放后使用（Use after free）问题，远程攻击者可通过特制 HTML 页面在沙箱内执行任意代码，Chromium 安全等级标注为 High。该条目涉及的是 Windows 桌面端浏览器，直接受影响的是仍停留在旧版本的终端用户、依赖浏览器承载内部系统的开发者，以及负责终端补丁分发的运维团队。

已确认信息与来源口径

事件的基本事实在多个一手与官方渠道之间可以相互印证，但细节颗粒度并不一致，需要分开看待。

需要留意的是，NVD 条目目前仍处于信息补充阶段，标准化评分可能随后续分析调整；在缺少官方评分前，不宜直接引用第三方转述的数值作为决策依据。

受影响条件与风险判断

该漏洞的触发点在浏览器渲染与脚本执行路径上，攻击面与普通网页浏览重合，因此“是否打补丁”比“是否访问可疑站点”更具决定性。仅使用 Windows 且版本号低于 156.0.8078.73 的安装构成暴露面；已升级到该版本或更高版本的终端不在描述范围内。linux 与 macOS 版本同批更新，但 NVD 对该 CVE 的平台描述限定为 Windows，其他平台是否受同一缺陷影响应以厂商公告为准，不宜自行外推。

风险不应被放大为“普遍在野攻击”。在本次检索到的 Chrome 官方公告、NVD 条目、CERT-FR 通报与香港政府协调中心警报中，均未给出已观测到实际利用的证据；Chrome 官方同时说明，缺陷细节与链接在多数用户完成更新前可能保持受限。对绝大多数组织而言，这是一次常规但优先级较高的补丁窗口，而非需要立即启动应急响应的事件。

运维核查与处置动作

终端侧核查可以分三层推进。第一层是抽样人工确认，在浏览器地址栏进入 chrome://settings/help，页面会显示当前版本并自动触发检查；低于 156.0.8078.73 即需更新。第二层是批量清点，可在 Windows 终端上读取 chrome.exe 的文件版本信息，例如用 PowerShell 获取 VersionInfo.FileVersion，或读取 Google 更新客户端注册表项中的 pv 值，与 156.0.8078.73 做比对。第三层是纳入资产台账，把浏览器版本作为与操作系统补丁并列的常态检查项。

处置顺序建议按暴露程度排序：直接面向互联网、承载客服与邮件入口、运行高权限后台的终端优先；随后覆盖开发与运维人员工作站，因为这类终端常同时登录多个系统。更新方式上，托管环境可继续使用 Chrome Browser Cloud Management、组策略或既有软件分发通道强制升级；非托管终端应提示用户重启浏览器，避免更新下载后长期停留在待重启状态。

企业分发与回滚的边界

分批推送期间会出现同一组织内版本不一致的情况，这是正常的灰度现象，但需要可观测：建议在分发系统中记录目标版本、已达标比例与失败原因，而不是只看“任务已下发”。若内部系统对浏览器版本存在兼容性约束，应先在小范围验证关键业务页面，再逐步扩大范围。

回滚需要谨慎。降级到 156.0.8078.73 以下会重新引入该漏洞描述中的暴露面，因此仅在确认新版本引发业务阻断、且已有临时缓解措施时才考虑，并应设定明确的回滚时限与再次升级计划。降级还可能触发用户配置文件的兼容性提示，操作前应保留配置备份，并避免在同一终端上反复升降级。

尚待核实的部分

Chrome 官方公告列出了本次 52 项修复中的若干 CVE 编号，但已获取的公告摘录中并未完整呈现 CVE-2026-118330 对应的条目与缺陷编号；将该 CVE 与 156 更新精确对应，仍需以 Chrome Releases 完整列表和 NVD 条目的后续更新为准。此外，触发该缺陷所需的具体页面构造、是否依赖特定渲染路径、以及在启用站点隔离等防护配置下的实际可利用性，目前均无公开细节。安全团队在内部通报中应把“版本边界已确认”和“利用细节未公开”分开表述，避免把数据库摘要当作已验证的攻击链结论。

参考来源：Chrome Releases 稳定版更新公告、NVD CVE-2026-118330、香港政府电脑保安事故协调中心警报 A26-10-59。