Одиннадцать уязвимостей в Google Chrome устраняет стабильный выпуск 154.0.8037.97/.98. Одна из них получила критический уровень по классификации разработчика, девять - высокий, ещё одна - средний. Затронуты пользователи Windows, macOS и Linux с более ранними сборками браузера. Часть проблем открывает путь к выполнению чужого кода, обходу ограничений безопасности, утечке данных и отказу в обслуживании. Для атаки злоумышленнику достаточно удалённого доступа: например, если жертва откроет подготовленную страницу.
Детали уязвимостей
Самая серьёзная по оценке Google - запись за границами памяти в WebGL, технологии для отрисовки трёхмерной графики прямо в браузере (CVE-2026-103628). Ошибка такого рода позволяет программе записать данные за пределами выделенного участка памяти. На практике это даёт возможность подменить служебные структуры и повлиять на ход исполнения кода. WebGL обрабатывает графику на стороне видеокарты, поэтому сбой затрагивает участки, которые работают с широкими правами. Запись за границами буфера относится к тем типам ошибок, которые чаще всего используют для выхода за пределы изолированной среды, где браузер запускает содержимое страниц.
Девять уязвимостей отнесли к высокому уровню. Среди них подмена типов в движке V8, который исполняет сценарии на JavaScript, переполнение буфера в WebRTC (набор технологий для аудио- и видеосвязи в реальном времени), целочисленное переполнение в механизме композитинга, собирающем картинку страницы из отдельных слоёв, и в графической библиотеке Skia. Ещё две связаны с проверкой прав: некорректная авторизация в компоненте FileSystem и обращение к освобождённой памяти в механизме FedCM, через который устроен вход на сайты с помощью сторонних сервисов. Три ошибки того же типа, обращения к освобождённой памяти, нашли в отрисовке SVG, в компоненте MediaStream и в контекстных задачах. Каждая из них возникает, когда программа возвращается к области памяти, уже отданной другому коду, и читает оттуда чужие данные. Замыкает список утечка информации в SVG со средним уровнем опасности.
Последствия у этих ошибок различаются. Выполнение кода даёт атакующему контроль над содержимым страницы и данными, к которым у браузера есть доступ. Обход ограничений безопасности снимает барьеры между вкладкой и остальной системой. Утечка информации раскрывает содержимое памяти, где могут лежать ключи сеансов и фрагменты пользовательских данных. Отказ в обслуживании приводит к падению вкладки или всего браузера. По отдельности такие ошибки редко дают полный контроль над компьютером. Однако одиннадцать проблем в одном выпуске повышают шансы собрать рабочую цепочку: одна уязвимость выводит исполнение за пределы изолированной среды, другая помогает выбраться из неё наружу. Именно так устроено большинство реальных атак на браузеры за последние годы.
Шесть ошибок нашли сотрудники Google, пять - сторонние исследователи. Проблему в FedCM, отрисовке SVG и MediaStream обнаружил исследователь под ником xinyang, ошибку в контекстных задачах - xuanocto1221. Переполнение буфера в WebRTC нашёл Xinyang Ge из Anthropic при содействии ассистента Claude. Отчёты приходили с 21 августа по 28 сентября 2026 года, то есть часть проблем к моменту выпуска оставалась закрытой от публики. Google держит детали и ссылки на обсуждения ограниченными, пока большинство пользователей не получит исправление. Такая практика снижает риск того, что описанием ошибки воспользуются раньше, чем выйдет обновление. Данных о применении этих уязвимостей в реальных атаках компания не приводит. Отдельного упоминания заслуживает участие ИИ-ассистента в поиске ошибки: часть работы по анализу кода всё чаще выполняет модель.
Обновление уже доступно. На Linux это Chrome 154.0.8037.97 и более поздние сборки, на Windows и macOS - 154.0.8037.97 или 154.0.8037.98 в зависимости от платформы. Раздача по каналам занимает несколько дней, иногда недель, поэтому автоматическая проверка может не найти новую версию сразу. Проверить установленную сборку можно на странице chrome://settings/help, там же запускается ручной поиск обновлений. Важная деталь: браузер скачивает исправление в фоне, но применяет его только после перезапуска. Если Chrome месяцами не закрывают, а окно лишь сворачивают, старая уязвимая версия продолжает работать. Это касается и корпоративных компьютеров, где браузер не выключают сутками.
Браузеры на C++ остаются продуктом, где ошибки работы с памятью появляются снова и снова. Обращения к освобождённой памяти, переполнения буфера и подмены типов входят в список самых распространённых типов уязвимостей в Chrome, и каждый крупный выпуск закрывает их десятками. Пользователям, которые работают с чувствительными данными, стоит держать браузер в актуальном состоянии и не откладывать перезапуск. Администраторам в организациях имеет смысл заранее проверить, что механизмы централизованного обновления корректно раздают новую сборку на всех платформах, включая парк машин на Linux, где контроль версий часто слабее, чем в корпоративных системах управления на Windows и macOS.
Ссылки
