Chrome 157 修复 213 个安全漏洞，其中 21 个借助 AI 工具发现

更新内容

谷歌的版本说明刻意写得很简略。说明中提到，在大多数用户完成更新之前，漏洞报告的访问“可能会受到限制”，这是 Chrome 的惯例。它公开的是一份清单：213 个安全修复，每一项都标明了严重程度、所属组件和报告者。

最常见的类型是释放后使用程序在释放一块内存后仍继续使用它；能控制写入内容的攻击者有时可以借此接管程序，共 45 项。其次是授权错误（37 项）和误导性界面元素（19 项），后者这类漏洞可能让假网页看起来很可信。

七个严重漏洞

这七个漏洞都在 11 月 3 日以 CVE 形式发布。每条记录描述的都是：特制网页可能让远程攻击者执行代码，其中多数还写明是在沙箱浏览器运行网页的隔离区域，这样网页里的漏洞就无法触及电脑的其他部分“之外”执行，这正是它们被评为严重的原因。CISA 给其中六个补充了 CVSS 3.1 评分 9.6，给 CVE-2026-121203 的评分是 8.8。

• CVE-2026-121156 和 CVE-2026-121247：Dawn 中的缓冲区溢出。Dawn 是 Chrome 用于 WebGPU一项较新的网页标准，让网页可以调用显卡运行游戏、3D 和 AI 任务 的图形引擎。根据记录，后者影响 Android 版 Chrome。
• CVE-2026-121229：ANGLE 中的内存损坏，ANGLE 是负责转换图形调用的中间层，影响 Android 版。
• CVE-2026-121246：WebGL 中的释放后使用，影响 Android 版。
• CVE-2026-121035：Prerender（在你点击之前预先加载网页的功能）中的释放后使用。
• CVE-2026-121203：Geometry 中的释放后使用。
• CVE-2026-121126：Core 中的释放后使用。

七个中有四个位于图形代码中（Dawn、ANGLE 和 WebGL），这些代码会在电脑的显卡上运行来自网页的内容。

AI 工具出现在致谢名单上

在 213 个修复中，有 130 个由谷歌自己报告。在外部报告中，有 21 个提到了 AI 工具。其中 14 个来自 Anthropic 的两位研究人员 Xinyang Ge 和 Vlad Stolyarov，标注为“借助 Claude”，包括严重漏洞 CVE-2026-121035；另外 7 个来自 OpenAI Codex Security。这些 AI 辅助发现中，大多数（21 个中的 16 个）为高危。

致谢名单只说明每个漏洞由谁报告，并没有说明工具具体做了多少工作，因此人和软件之间如何分工并不清楚。能看出来的是，在这次版本的安全修复中，大约每十个就有一个来自 AI 辅助研究。类似的话题也出现在 Mistral Large 4 的发布中，该公司公布了模型在发现和修复漏洞方面的成绩。

如何更新

Chrome 会自动更新，但新版本要在重启浏览器后才会生效。在电脑上，打开菜单，进入 帮助 > 关于 Google Chrome，等待下载完成后点击 重新启动。显示的版本应为 157.0.8103.38 或更新。在 Android 上，请通过 Google Play 更新 Chrome，因为有三个严重漏洞影响 Android 版。

谷歌表示，此次更新会“在未来几天或几周内”陆续推送，所以一台很久没有重启 Chrome 的电脑可能仍停留在 156 版。集中管理 Chrome 的企业应检查自己的更新策略。

同一时期，其他浏览器和手机也迎来了大批修复：Mozilla 在 Firefox 159 中修复了 167 个漏洞，谷歌的 Android 2026 年 11 月安全公告则涵盖了 216 个。