Google закрыла уязвимость нулевого дня в обработке XML в браузере Chrome. Эксплойт для неё существует и уже применяется в реальных атаках - так формулирует сама компания. Когда начались первые попытки, Google не сообщила; обновление вышло 9 ноября 2026 года, а запись об уязвимости поступила 6 ноября. Кого атакуют, как доставляют эксплойт и что он умеет, компания не раскрыла.
Что известно об уязвимости
Уязвимость получила идентификатор CVE-2026-125350. Это использование памяти после освобождения в XML. Программа обращается к участку памяти, который уже освободила. Освобождённый участок может достаться другому объекту, и тогда браузер прочитает или перезапишет чужие данные. Итог - падение вкладки, а при удачном для злоумышленника раскладе и выполнение его кода. Для этого конкретного случая Google выполнение кода не подтвердила.
Запись в трекере - 582442907. Об уязвимости сообщил анонимный исследователь. Эксплуатацию Google подтвердила только для CVE-2026-125350: остальные записи выпуска такого статуса не имеют. Второе использование памяти после освобождения в XML закрыли тем же обновлением - CVE-2026-125346, запись 572578603. О нём 12 октября сообщил Арни Хардарсон из Neonix Security. Размер вознаграждения за эту находку пока не определён.
Уязвимости памяти в Chrome находят регулярно, и этот выпуск закрывает сразу несколько таких случаев. Две записи касаются XML, ещё несколько - GPU. Поэтому обновлять браузер стоит не по календарю, а по факту выхода сборки с исправлениями.
Условия атаки
Условия атаки Google описала не полностью. Не названы ни цели, ни способ доставки, ни время первых попыток. Неизвестно и то, нужна ли пользователю отдельная страница или достаточно, чтобы браузер обработал специально собранные XML-данные. Браузер обрабатывает содержимое внешних сайтов, поэтому уязвимость в нём важна для любой организации, где сотрудники работают в веб-приложениях. Затронуты Windows, macOS и Linux, так что обновлять нужно все три платформы, а не только ту, на которой работает конкретный сотрудник.
Остальные исправления
Всего в выпуске девять уязвимостей. Семь из них Google отнесла к высокому уровню опасности. Неинициализированный ресурс в WebGL получил номер CVE-2026-125345, запись 550525698: о нём Google сообщила сама 21 августа. Некорректную авторизацию в FileSystem закрыли как CVE-2026-125347, запись 561996724, 15 сентября. Переполнение буфера в Compositing - CVE-2026-125343, запись 561998123, тоже 15 сентября. Все три случая нашли внутри Google.
Дальше идут запись за границами буфера в GPU (CVE-2026-125348, запись 563358700, 18 сентября) и путаница типов в V8 (CVE-2026-125344, запись 568893995, 2 октября). V8 - движок, который выполняет JavaScript в Chrome. Две уязвимости среднего уровня тоже связаны с GPU. Это неинициализированные ресурсы в CVE-2026-125349 (запись 536663516, Google, 20 июля) и в CVE-2026-125342 (запись 566384898, Vo Duc Thang, он же ugvxb, 26 сентября). По остальным записям вознаграждение не указано.
Что делать администраторам
Исправленные сборки - 157.0.8103.50/.51 для Windows и macOS и 157.0.8103.50 для Linux. Для первых двух платформ указаны два номера, сверять нужно оба. Раздача идёт постепенно, в течение нескольких дней и недель. Предыдущее обновление Chrome 157 этих исправлений не содержит: нужна более новая сборка. Пользователь открывает раздел "Справка" в меню браузера, ставит доступное обновление и перезапускает Chrome.
Для организации важен не сам факт выпуска, а доля машин, где сборка уже обновилась. Пока Chrome обновляется сам, риск снижается без участия администратора. Если автообновление выключено политикой, доступ к рабочим веб-приложениям с уязвимого браузера стоит ограничить до установки патча.
Администраторам стоит сверить версии на подконтрольных устройствах - так же, как при прошлых эксплуатируемых уязвимостях Chrome. Google может держать детали закрытыми, пока большинство пользователей не обновится или пока исправления не получат зависимые сторонние проекты. После патча уязвимый код из сборки уходит, но защита держится ровно на установленной версии. Откат возвращает риск, поэтому минимально допустимой стоит считать сборку 157.0.8103.50/.51, а всё, что старше, - очередью на обновление.
Ссылки
