В Google Chrome закрыт ряд уязвимостей, часть из которых позволяет выполнить произвольный код. Для атаки достаточно, чтобы пользователь открыл специально подготовленную HTML-страницу. Проблема касается сборок браузера для Windows, macOS и Linux. Исправление вышло 29 октября 2026 года.
Повреждение памяти и обращение к освобождённой памяти
Обновление затрагивает стабильный и расширенный стабильный каналы, поэтому до пользователей оно дойдёт в течение нескольких дней или недель. В выпуск вошло 21 исправление безопасности. Большую часть списка Google помечает уровнем High, одну ошибку - уровнем Critical, ещё одну - Medium. Описания ошибок раскрывают не сразу: доступ к деталям и ссылкам на отчёты может оставаться закрытым, пока большинство пользователей не получит исправление.
Числовой оценки по CVSS (общей системе оценки уязвимостей) вендор не приводит и ограничивается собственными уровнями. Во всех записях условия атаки совпадают: доступ по сети, учётные данные не нужны, страница готовится заранее. Участие пользователя сводится к её открытию. О дополнительном взаимодействии со страницей описания не сообщают.
Механика ошибок различается. Повреждение памяти означает запись данных за границы выделенного буфера. При использовании после освобождения программа обращается к участку памяти, который уже вернули системе. Ненадлежащая проверка входных данных позволяет подать значение, которого код не ожидает. Ещё один класс - целочисленное переполнение, когда число выходит за отведённую разрядную сетку.
Последствия распределены по категориям: отказ в обслуживании, выполнение произвольного кода, обход ограничений безопасности и раскрытие информации. Названия компонентов в бюллетене указывают на конкретные подсистемы. Skia отвечает за отрисовку графики, V8 исполняет сценарии страницы, Blink строит её из разметки, Dawn работает с графикой через WebGPU. Все они обрабатывают содержимое открытой страницы, поэтому подготовленный сайт может задействовать любую из них.
Ряд ошибок ограничивается выполнением кода внутри песочницы - изолированной среды, у которой нет прямого доступа к файлам системы. Такое ограничение сужает набор действий, доступных вредоносному коду, но не делает ошибку безопасной.
Ошибка уровня Critical - повреждение памяти в MediaStream, она получила идентификатор CVE-2026-76024 (номер учёта уязвимости в общих базах). Ошибка в графической библиотеке Skia, CVE-2026-119261, по описанию позволяет выполнить код уже за пределами песочницы. Ещё одна запись описывает чтение за границами буфера в FileSystem с уровнем Medium. Такая ошибка даёт доступ к содержимому памяти внутри песочницы.
Записи CVE вышли 30 октября 2026 года. Уязвимыми в них названы сборки до 156.0.8078.79, а исправленную версию записи не приводят - номер есть только в бюллетене вендора. Часть ошибок нашли внешние исследователи, остальные - внутренняя команда Google.
Исправленные сборки - 156.0.8078.79 для Linux и 156.0.8078.79/.80 для Windows и macOS. Обходных мер вендор не приводит, и в записях CVE их тоже нет. Сведений об эксплуатации этих ошибок в реальных атаках нет. Публичного раскрытия деталей тоже нет: доступ к описаниям закрыт.
Оба канала получают одну и ту же сборку. Для организаций с управляемым парком машин важна скорость распространения: обновление доходит до рабочих мест постепенно, поэтому проверять версию браузера имеет смысл и после выхода бюллетеня. Настроек, которые закрыли бы ошибки без установки сборки, вендор не предлагает.
Для парка браузеров выпуск означает переход на 156.0.8078.79 или 156.0.8078.79/.80. Тяжесть отдельных ошибок пока видна только по уровням вендора. Полную картину даст раскрытие описаний, которое произойдёт после установки исправлений у большинства пользователей.
Ссылки
