上週，Chrome Security 團隊的Adrian Taylor，在一篇谷歌安全博客文章中解釋了“為何在野外被利用的CVE 漏洞似乎有所增加”。對於這種漏洞利用的可見性增長趨勢，歸咎於多個方面的因素。而谷歌旗下的Project Zero 團隊，也有對包括WebKit、IE、Flash、Firefox 和Chrome 在內的所有已識別的瀏覽器零日漏洞展開追踪。

（來自：Google Security Blog）

從2019 到2021 年，Chrome 上的這些漏洞利用增勢非常明顯。但在2015 到2018 年，Chrome 卻沒有記錄到零日漏洞。

Chrome Security 團隊解釋稱，雖然這並不意味著完全沒有針對Chromium 內核的瀏覽器漏洞利用，但由於缺乏完整的歸納試圖，可用數據或存在抽樣偏差。

那為何大家還是感覺漏洞變多了呢？Chrome Security 將之歸結於四個可能的原因——（1）供應商透明度、（2）攻擊者焦點的演變、（3）站點隔離項目的完工、以及（4）軟件錯誤的複雜性。

● 首先，許多瀏覽器廠商都在一改往日的做法，主動通過各自的渠道來披露此類漏洞利用的詳情。

● 其次，攻擊者的關注點發生了轉移。隨著Microsoft Edge 於2020 年初切換至Chromium 渲染引擎，攻擊者也自然地盯上了更廣泛的受眾群體。

● 第三，錯誤的增加，或源於最近完成的持續多年的站點隔離項目—— 其使得一個bug 的出現，不至於對全局造成過大的傷害。

● 第四，基於軟件存在bug 這一簡單事實，我們必須承認其中有一小部分可被攻擊者拿來利用。隨著瀏覽器與操作系統變得日益複雜，更多的錯誤也是難以避免。

零日漏洞趨勢

綜上所述，漏洞數量已不再和安全風險直接畫等號。即便如此，Chrome 團隊仍保證他們會在發布前，努力檢測並修復錯誤。

在利用已知漏洞的 n-day 攻击方面，其“补丁空窗期”已显著减少（Chrome 为 35 天 / 平均 76~18 天）。此外为了防患于未然，Chrome 团队还在努力让攻击变得更加复杂和代价高昂。

在具體正在實施的改進中，包括了不斷增強的站點隔離，尤其是針對Android、V8 heap sandbox 沙箱、MiraclePtr / Scan 項目、內存安全編程語言等新組件，以及被野外利用後的緩解措施等。

最後，對於普通用戶來說，最簡單的應對方法，就是在看到Chrome 更新提醒的第一時間執行操作。