Chrome V8 零日要立刻重啟瀏覽器

這篇整理 Chrome CVE-2026-11645 的處理順序，重點是先更新、再重啟、最後驗證版本是否真的生效。

Google 已經修補這個被利用中的 V8 零日。讀完這 5 項，你可以判斷自己或團隊該先處理哪個平台、哪些瀏覽器也要一起檢查，以及更新後要怎麼確認沒有漏網之魚。

項目	已修補版本	處理方式
Windows 版 Chrome	149.0.7827.102/.103	更新後重啟
macOS 版 Chrome	149.0.7827.102/.103	更新後重啟
Linux 版 Chrome	149.0.7827.102	透過套件管理器或瀏覽器流程更新
其他 Chromium 瀏覽器	依廠商版本而定	等對應修補並安裝

1. Windows 與 macOS 版 Chrome 先處理

多數使用者應該先動手的是 Google Chrome 桌面版。Google 已修補 CVE-2026-11645，Windows 與 macOS 的安全版本落在 149.0.7827.102/.103，低於 149.0.7827.103 的版本都還在風險範圍內。

關鍵不是看到更新提示而已，而是要讓新程序真的啟動。Chrome 可能已經下載補丁，卻還在跑舊程序，這時候風險仍然存在。

• 打開 chrome://settings/help
• 確認版本號已到修補版
• 把所有 Chrome 視窗都重新啟動

2. Linux 版 Chrome 要看安裝方式

Linux 使用者同樣需要升到 149.0.7827.102。差別只在於你是透過瀏覽器內建更新，還是透過 apt、yum 或企業部署工具安裝。只要還沒重啟，修補就不算完成。

如果是集中管理的 Linux 桌面，這時要特別檢查套件是否被鎖版、延後，或卡在維護窗口。腳本顯示成功，不代表終端真的已經跑在新版本上。

• 透過 apt、yum 或部署工具更新
• 安裝後立刻驗證版本
• 長時間開著瀏覽器的使用者要重啟工作階段

3. 其他 Chromium 瀏覽器也別放過

Microsoft Edge、Brave、Opera、Vivaldi 這類 Chromium 瀏覽器，也可能因共用程式碼而需要各自更新。Chrome 的修補不會自動套到其他廠商版本。

最穩妥的做法，是把這些瀏覽器當成獨立清單逐一核對。很多企業同時允許兩到三種瀏覽器，少看一個就可能留下可被利用的入口。

• 看各家 release notes 是否已出修補版
• 凡是內含 Chromium 與 V8 的瀏覽器都要檢查
• 把多瀏覽器裝置標記成高優先級

4. 企業端要驗證，不只要安裝

對資安團隊來說，真正的問題不是有沒有推送更新，而是有沒有真的到每一台終端。這類零日透過網頁內容就能觸發，而且 Google 已確認它在野外被利用，代表桌機、VDI、Kiosk 和遠端工作者都不能拖。

先從高風險族群開始，例如主管、財務、開發者和管理員。再用 MDM、GPO、EDR 或軟體部署平台核對版本，並在政策允許時強制重啟。只看更新通知，通常會漏掉真正還沒生效的裝置。

• 盤點所有 Chrome 安裝點
• 確認重啟已完成或被強制執行
• 觀察 proxy、DNS、EDR 是否有異常跡象

5. 這個零日為什麼急

CVE-2026-11645 是 Chrome V8 JavaScript 與 WebAssembly 引擎的越界記憶體存取問題，風險不在於它多罕見，而在於它可以被普通網頁內容觸發。只要一頁被設計過的 HTML，就可能踩中漏洞。

這也是為什麼瀏覽器更新不能只看「已下載」，而要看「已啟用」。對使用者來說，更新、重啟、驗證三步缺一不可；對團隊來說，這類事件應該直接納入日常弱點管理流程。

chrome://settings/help

怎麼挑

如果你是一般使用者，現在就更新 Chrome 並重啟。若你是 IT 或資安管理者，先處理 Windows、macOS、Linux，再把所有 Chromium 瀏覽器一起納管。真正的判斷標準不是有沒有補丁，而是固定版本是否已經在裝置上跑起來。

若你需要持續追蹤軟體弱點與依賴風險，像 Vulert 這類工具可以協助做 CVE 與 SBOM 監控；但這次最重要的動作仍然很直接：立刻更新、重啟、驗證。