Chrome 156 来了：一次修掉 353 个漏洞，6 个严重
浏览器是每天打开最多的软件，也是最先挨打的那个。Google 10 月 20 日把 Chrome 156 推上稳定版（Windows、Mac、Linux），这一次的更新说明很短，安全账单很长：353 个漏洞一次修掉，其中 6 个标为严重。没有新功能可炫耀，但这正是那种“先升了再说”的更新。
对谁有用：所有用 Chrome 的人
只要电脑上装了 Chrome，这次更新就跟你有关。353 个修复里，严重 6 个、高危 61 个、中危 197 个、低危 89 个。严重的那 6 个集中在浏览器最底层：Skia 图形库、无障碍（Accessibility）代码里的 2 个、CSS 处理、Paint 绘制，还有视频通话用的 WebRTC 引擎——全是内存损坏和释放后重用（use-after-free）这类老问题。浏览器每天打开的网页、邮件里的链接、聊天里的网址，都是攻击的入口；一个精心构造的网页就可能触发这类漏洞，不需要你下载任何东西。其中一个中危漏洞（CVE-2026-113079，Site Isolation 的释放后重用）早在 2021 年 3 月就被报告过，拖了五年多才在这次修掉。
有什么变化：不只是补洞
版本号认准这几个：Windows 和 Mac 是 156.0.8078.47 或 .48，Linux 是 156.0.8078.47；手机上 Android 是 156.0.8078.47，iOS 是 156.0.8078.46，ChromeOS 156 也同一天上了稳定版。更新是分批推送的，未来几天到几周内陆续到达，不是所有人同一天能收到。
除了补洞，156 还有两个值得一提的变化：一是桌面版开始推 Gemini 驱动的语音输入，叫 talk to type，可以在网页文本框里说话打字，不过是分批上线，不同地区和语言进度不同；二是面向开发者的 CSS random() 等小功能，以及 IndexedDB 换成 SQLite 后端——普通用户感知不到，但能让浏览器更稳。Google 没有报告这批漏洞里有正在被利用的，CISA 的已知利用目录里当时也没有收录——但这不是拖延的理由，严重漏洞的细节迟早会公开。
读者下一步做什么：现在就更新，重启才算完
点浏览器右上角三个点 → 帮助 → 关于 Google Chrome，Chrome 会自动检查并下载更新，装完点“重新启动”——补丁只有重启后才生效。更新完可以在同一页核对版本号：Windows、Mac 看到 156.0.8078.47（或 .48），Linux 看到 156.0.8078.47，就是最新。如果还没收到，说明分批推送还没轮到你，过一两天再看一眼。公司电脑由管理员统一推的，等 IT 推送就行，不用自己找安装包；Edge、Brave、Opera 这些同源的 Chromium 浏览器也会陆续跟进各自的修复，同样别拖。
站长点评
这次更新没有新功能可晒，但 353 这个数字本身就是理由。浏览器安全更新的规律是：补丁一出，漏洞细节很快就会公开，拖得越久越容易中招。Chrome 的更新是静默的，但重启那一步必须手动点——很多人就是卡在这一步，补丁下了几个星期都没生效。今天花一分钟检查一下，比什么都强。顺带一提：同一个月里，Firefox 158.0.1 和三星 S25 的十月补丁也在推，浏览器和系统一起保持最新，才算补齐。
相关阅读
· Firefox 158.0.1：把失窃 CA 的证书拉黑，顺手修了几个烦人 bug
· 一家 CA 的私钥居然是「4」：eMudhra 证书事件，半个互联网连夜换锁
· Brotli 解码漏洞扩散：Python、Envoy 相继中招，Node.js 已修复
信息来源：Google Chrome Releases 官方博客《Stable Channel Update for Desktop》（2026-10-20）；文中判断为本站观点。
发表评论