Google устранила восьмую уязвимость нулевого дня в браузере Chrome, которая активно использовалась злоумышленниками в 2026 году. Это соответствует общему числу уязвимостей за весь прошлый год, при этом до конца календарного года остается почти два месяца.
Последняя уязвимость, известная как CVE-2026-125350, представляет собой критическую ошибку типа «использование после освобождения» (use-after-free) в компоненте XML браузера Chrome. Google подтвердила в консультативном уведомлении по безопасности, опубликованном в понедельник, что злоумышленники уже используют эту ошибку, хотя компания не уточнила, кто стоит за атаками и кто может быть их целью.
«Google осведомлена о том, что эксплойт для CVE-2026-125350 существует в дикой природе», — заявила компания, предоставив мало дополнительной информации об атаках.
Уязвимость была сообщена анонимно 6 ноября и связана с ошибкой управления памятью, которая возникает, когда программное обеспечение продолжает использовать указатель на память, которая уже была освобождена. Подобные ошибки потенциально могут позволить злоумышленникам повредить память и выполнить вредоносный код, хотя Google не раскрыла, как именно эксплуатируется данная уязвимость.
Google держит дальнейшие технические детали в секрете до тех пор, пока достаточное количество пользователей не установит исправление. Такой подход призван помешать другим злоумышленникам получить доступ к рабочему эксплойту.
Исправление доступно в Chrome версии 157.0.8103.50/.51 для Windows и macOS, а также 157.0.8103.50 для Linux. Обновление также устраняет восемь других уязвимостей безопасности, включая критические ошибки, затрагивающие WebGL, FileSystem, GPU, Compositing и движок JavaScript V8.
Релиз исправляет еще одну ошибку типа «использование после освобождения» в компоненте XML браузера Chrome, CVE-2026-125346, о которой в октябре сообщил Арни Хардарсон из Neonix Security. Однако Google не указала, что эта вторая уязвимость используется злоумышленниками.
Последнее открытие пополняет и без того длинный список уязвимостей нулевого дня в Chrome за этот год. К июню Google уже устранила пять активно эксплуатируемых уязвимостей нулевого дня в Chrome, включая ошибки в движке JavaScript V8, библиотеке графики Skia и реализации WebGPU. С тех пор список только рос: в сентябре были исправлены еще две ошибки V8, а последняя уязвимость XML довела их общее число до восьми.
Таким образом, 2026 год сравнялся с 2025 годом, когда Google также исправила восемь уязвимостей нулевого дня в Chrome, эксплуатируемых в реальных атаках. Сможет ли разработчик браузера продержаться до конца года без добавления новых уязвимостей в этот список — остается только гадать.
Google сообщает, что последнее обновление будет развертываться в течение ближайших дней и недель, но пользователи могут проверить его вручную, перейдя в меню «Настройки» Chrome и выбрав пункт «О браузере». Поскольку злоумышленники уже используют уязвимость, вероятно, стоит сделать это как можно скорее, а не ждать, пока Chrome сделает это автоматически. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Carly Page
