ChromeOS／ChromeOS Flex 穩定版安全更新，含 Critical 級 FileAPI 漏洞

情報摘要

Google 於 10 月 28 日發布 ChromeOS／ChromeOS Flex 穩定版更新，ChromeOS 版本為 16836.30.0，瀏覽器版本為 156.0.8078.77。HKCERT 翌日發出中度風險通報；Google 所列九項瀏覽器安全修復中，一項為 Critical、八項為 High。

HKCERT 指這批漏洞可能讓遠端攻擊者造成服務中斷、執行任意程式碼或繞過保安限制；這是公告所述的潛在影響，不代表已發生入侵。

公告所列漏洞為 CVE-2026-118307、CVE-2026-118309、CVE-2026-118331、CVE-2026-118332、CVE-2026-118339、CVE-2026-118343、CVE-2026-118346、CVE-2026-118349 及 CVE-2026-118358。

Google 的 ChromeOS／ChromeOS Flex 更新日期為 2026 年 10 月 28 日，HKCERT 通報日期為 10 月 29 日。這是與 Chrome 桌面版相關但不同的產品更新，不能把桌面版公告的修復總數或版本門檻直接套用於本篇。

受影響產品

ChromeOS／ChromeOS Flex Stable；HKCERT 列出的受影響版本為 ChromeOS 16836.30.0（瀏覽器版本 156.0.8078.77）之前的版本。

適用讀者

Chromebook、ChromeOS／ChromeOS Flex 用戶，以及學校與企業裝置管理員

建議行動

依 HKCERT 建議安裝供應商修補程式，並核對裝置是否已套用 Google 此次公布的 ChromeOS 16836.30.0（瀏覽器版本 156.0.8078.77）或其後適用的修復版本。管理員應按裝置及所用更新頻道核對供應商資訊，不要以桌面版 Chrome 的版本門檻代替 ChromeOS 系統更新。

風險評級依據

採用 Google 此次修復清單最高的 Critical 級別：CVE-2026-118331（FileAPI 輸入驗證不當）；其餘八項為 High。HKCERT 對整份公告評為中度風險，兩者評級尺度不同；本篇並非宣稱所有漏洞均屬 Critical，也不提供單一 CVSS 分數。

解讀限制

已核對的公告未確認這批漏洞遭野外利用；未提及並不等於證明沒有攻擊。未有已核實的香港受害個案或受影響裝置數量。

日期為來源標示的日曆日，未據此推定首次發現或攻擊時間；本篇不列未核實的 CVSS 分數或利用成熟度。

資料來源

• Google Chrome Releases：Stable Channel Update for ChromeOS / ChromeOS Flex ↗來源刊登：2026-10-28
• HKCERT：ChromeOS 多個漏洞 ↗來源刊登：2026-10-29