GoogleChrome有关高风险漏洞

2月14日，有关Google紧急推送了Chrome 116.0.5845.188更新。高风别被版本号骗了，险漏这次修的有关不是什么小打小闹的界面卡顿，而是高风两个已经被黑客实际利用的零日漏洞。CVE-2024-1283和CVE-2024-1284，险漏一个出在V8 JavaScript引擎，有关另一个藏在WebAudio组件里。高风说人话就是险漏：你打开一个恶意网页，对方就能直接拿到你电脑的有关控制权，连密码都不用猜。高风

这已经不是险漏Chrome今年第一次翻车了。1月份刚补过一个图形库漏洞，有关再往前数，高风去年年底还有一轮连环修补。险漏有意思的是，Google每次只轻描淡写说“已检测到攻击”，至于谁在利用、攻击了哪些人、影响范围多大，全部语焉不详。这种保密策略可以理解——怕给黑客递刀子，但用户这边就难受了，等于知道自己家窗户有洞，却不知道外面是谁在拿石头瞄着。

我自己的使用习惯可能和很多人一样：Chrome挂着十几个标签页，从银行账户到工作邮箱，从社交平台到购物网站，全在一个浏览器里解决。这意味着什么？一个漏洞能把你所有的数字生活连锅端。V8引擎那个漏洞尤其凶险，它管着JavaScript执行，几乎所有现代网页都跑在上面。黑客构造一段畸形代码，Chrome的内存布局就乱了，随后就能往系统里塞任意程序。这过程快得离谱，可能你点开一个链接的瞬间就已经中招。

最讽刺的是，很多人根本没意识到自己用的是过时版本。Chrome会自动更新，但前提是你得重启浏览器。有人开了电脑一个月不关，Chrome后台更新卡在“等待重启”状态，等于穿着一件破了洞的雨衣还觉得自己防雨。我见过不少同事，任务栏里Chrome图标上挂着黄色小三角，愣是能无视它两三个星期。

Google这次的反应速度倒是值得肯定。从发现漏洞到发布修复，只隔了不到一周。但这也暴露了另一个问题：Chrome的更新机制太被动了。Firefox和Edge现在都会强制重启浏览器完成更新，Chrome却还在用“下次启动时更新”这种温柔策略。安全更新面前，哪有什么温柔可言？你多犹豫一天，黑客就多一天机会。

别慌着卸载Chrome——那也解决不了问题。我给你的建议很直接：现在就去检查浏览器版本，如果是116.0.5845.188之前的版本，立刻重启浏览器让它更新。顺手把自动更新改成“始终允许”，别心疼那几个标签页。对了，更新完记得把浏览器里存的密码都换一遍，特别是网银和邮箱的。花钱买个密码管理器也行，几十块钱一年，总比被盗号后追着客服跑要省心。

回头想想，Chrome占据全球六成浏览器市场，它出漏洞基本等于给整个互联网开了个后门。Google的工程师们确实在拼命堵，但漏洞这东西就像漏水的水管，堵住一个裂口，旁边又渗出来一处。作为普通用户，我们唯一能做的，就是别让那根水管在自己手里彻底爆掉。