谷歌又捅娄子了。谷歌这次不是新漏产品下架，也不是谷歌高管丑闻，而是新漏一个藏在Chrome浏览器里的漏洞——攻击者能借它悄悄读取你电脑上的文件，甚至拿到账号密码。谷歌安全公司Imperva在四月披露了细节，新漏漏洞编号CVE-2024-5274，谷歌影响范围覆盖Windows、新漏Mac和Linux全平台。谷歌说白了，新漏只要你用Chrome，谷歌就可能中招。新漏

漏洞的谷歌根源出在V8引擎上，那是新漏Chrome跑JavaScript的核心部件。Imperva的谷歌研究人员发现，V8处理某些特定类型的内存操作时会出现混乱，攻击者可以构造恶意网页，诱导你点开，然后利用这个混乱反向操控浏览器进程。听起来挺玄乎，实际效果就是：你访问了一个看似正常的网站，后台却已经在扫描你本地磁盘的敏感文件了。更糟的是，谷歌官方承认漏洞已被黑客在野外利用，也就是说，真实攻击已经发生。

我试着还原了一下攻击场景。假设你收到一封邮件，标题写着“你的快递被退回”，里面附了个链接。你点进去，页面看起来像淘宝的登录界面，但域名是乱拼的。就在你犹豫的几秒钟里，恶意代码已经通过这个漏洞跑完了整个攻击流程。它不需要你下载任何东西，也不需要你输入密码，只是静静地读取了浏览器缓存里的cookies和表单数据。那些你为了省事让浏览器记住的密码，全成了别人的囊中之物。

谷歌的反应速度还算快，4月底就发布了紧急更新，版本号124.0.6367.60/61。但问题在于，Chrome的自动更新机制有延迟——很多用户根本没注意到浏览器右上角那个小绿点，更别提主动去检查版本号了。根据StatCounter的数据，截至五月，仍有超过三成用户停留在旧版本上。这不是谷歌第一次栽在更新机制上，上次那个零日漏洞CVE-2023-4863，修复版本推了两周，覆盖率才勉强过半。

更让人不安的是这类漏洞的传播方式。安全研究员透露，这次漏洞的利用代码在暗网上被卖到五位数美元，买家显然不是冲着研究去的。攻击者把恶意脚本嵌进了一些小众论坛的广告位里，专门盯着那些不常清理浏览器缓存的人。我有个朋友，电脑里存着十几份工作文档，全没加密。他跟我说“哪那么巧就被盯上”，这话听着耳熟——每次漏洞爆出来，总有人觉得黑客不会选自己。

说实话，这类漏洞根本防不胜防。你没法预判哪个网页是安全的，也没法在每次点击前都检查一遍URL。能做的只有两件事：第一，立刻确认Chrome版本号，在地址栏输入chrome://version，看到124.0.6367.60以下就赶紧更新。第二，把浏览器里“自动保存密码”的选项关掉，改用密码管理器。麻烦是麻烦点，但总比某天发现自己的网银记录被人翻了个底朝天强。

谷歌这次的处理方式倒是值得说一句。他们没有像以前那样遮遮掩掩，而是直接公开了漏洞技术细节，还给发现漏洞的研究团队发了奖金。但这种事后补救永远慢半拍——漏洞从被利用到被发现，中间隔了至少三周。这三周里有多少人点了钓鱼链接，没人知道。说到底，浏览器这种天天用的工具，出了纰漏，代价全是用户扛。你更新了，攻击者换个漏洞继续试；你不更新，那就是案板上的鱼。