Chrome 157 закрывает 83 уязвимости, пять из них критического уровня

Google выпустила стабильное обновление Chrome до версии 157.0.8103.78/.79 для Windows и macOS и до 157.0.8103.78 для Linux. В релиз вошли 83 исправления безопасности: пять ошибок критического уровня и 78 высокого. Сборка Chrome для Android 157.0.8103.78 содержит те же исправления. Обновиться и перезапустить браузер стоит всем, кто открывает внешние ссылки и работает с корпоративными веб-приложениями.

Что вошло в релиз

Google традиционно не раскрывает детали, пока большинство пользователей не получит исправление. Поэтому в бюллетене указаны только компоненты и классы ошибок, без описания сценариев атаки. Пять критических ошибок относятся к классу use after free - использования памяти после её освобождения. Они затрагивают ServiceWorker (CVE-2026-126885), CSS (CVE-2026-126895), Layout (CVE-2026-126879), Skia (CVE-2026-126846) и Accessibility (CVE-2026-126911).

Суть use after free в том, что программа освобождает область памяти, а затем продолжает к ней обращаться. Если атакующий успевает поместить в освобождённое место свои данные, браузер начнёт работать с чужой структурой. На практике это ведёт к повреждению памяти и потенциальному выполнению кода в процессе рендерера. Такие ошибки в браузере считаются приоритетными, потому что эксплуатируются через обычную веб-страницу.

Ошибки в движке JavaScript и графике

Skia - движок отрисовки графики, он разбирает изображения, шрифты и PDF. На него приходится самая большая группа исправлений высокого уровня: переполнение буфера (CVE-2026-126912), чтение за границей буфера (CVE-2026-126871, CVE-2026-126884, CVE-2026-126894, CVE-2026-126922, CVE-2026-126857, CVE-2026-126841), целочисленное переполнение (CVE-2026-126876), работа с неинициализированными ресурсами (CVE-2026-126853, CVE-2026-126898, CVE-2026-126844, CVE-2026-126914, CVE-2026-126848, CVE-2026-126915) и утечки информации (CVE-2026-126882, CVE-2026-126920). Широкая представленность Skia объяснима: этот код постоянно обрабатывает недоверенные данные - картинки и шрифты с сайтов.

V8, движок JavaScript, получил набор ошибок типизации: type confusion (CVE-2026-126847, CVE-2026-126910, CVE-2026-126874, CVE-2026-126880, CVE-2026-126897, CVE-2026-126908, CVE-2026-126849, CVE-2026-126868), целочисленное переполнение (CVE-2026-126916), запись за границей буфера (CVE-2026-126893), повреждение памяти (CVE-2026-126917), off-by-one (CVE-2026-126889) и use after free (CVE-2026-126864, CVE-2026-126891). Type confusion - это когда объект одного типа интерпретируется как объект другого, и код читает или пишет не туда, куда рассчитывал. Отдельно отмечены две ошибки в Turbolev, звене компиляции JavaScript: переполнение буфера (CVE-2026-126888) и type confusion (CVE-2026-126843).

ANGLE, слой трансляции WebGL в вызовы графических API, закрывает четыре ошибки: неинициализированный ресурс (CVE-2026-126870, CVE-2026-126858), некорректную проверку состояния (CVE-2026-126903) и use after free (CVE-2026-126842). Ошибки в этом компоненте интересны тем, что путь к ним лежит через WebGL-контент, который может отрисовать любая страница.

Условия атаки

Большинство перечисленных ошибок находятся в процессе рендерера. Для срабатывания достаточно, чтобы пользователь открыл специально подготовленную страницу или документ. Права в системе при этом не нужны, а участие пользователя ограничивается переходом по ссылке или открытием файла. Песочница Chrome сдерживает последствия: код выполняется с ограниченными правами, и для полноценной атаки нужна вторая уязвимость для выхода из изоляции.

Часть ошибок затрагивает более чувствительные компоненты. Это use after free в Passwords (CVE-2026-126909), запись за границей буфера в Network (CVE-2026-126840), некорректная авторизация в SiteIsolation (CVE-2026-126850), ошибки в Browser (CVE-2026-126867, CVE-2026-126902) и BrowserTag (CVE-2026-126919), use after free в PDF (CVE-2026-126901) и Elements (CVE-2026-126899). Проблемы с изоляцией сайтов и сетевой подсистемой требуют отдельного внимания: их последствия выходят за рамки одного процесса.

Отдельная группа - локальные сценарии. В FileSystem отмечены переход по символической ссылке (CVE-2026-126859) и две ошибки авторизации (CVE-2026-126872, CVE-2026-126860). Такие ошибки обычно связаны с работой скачанных файлов и доступом к локальным путям, поэтому важны для тех, кто разрешает браузеру работу с файлами. В Extensions закрыты некорректная авторизация (CVE-2026-126866), use after free (CVE-2026-126873) и состояние гонки (CVE-2026-126906) - здесь для срабатывания нужно установленное расширение или страница, взаимодействующая с API расширений.

Остальные исправления разбросаны по компонентам: Frames (CVE-2026-126886, CVE-2026-126869), Layout (CVE-2026-126918, CVE-2026-126854), Compositing (CVE-2026-126904, CVE-2026-126913), Media (CVE-2026-126907, CVE-2026-126881, CVE-2026-126861, CVE-2026-126890), MediaStream (CVE-2026-126892, CVE-2026-126852), Accessibility (CVE-2026-126851, CVE-2026-126921), CSS (CVE-2026-126900), DOM (CVE-2026-126865), HTML (CVE-2026-126863), Animation (CVE-2026-126887), Cache (CVE-2026-126856), Dawn (CVE-2026-126877), GPU (CVE-2026-126845), ImageCapture (CVE-2026-126855), Core (CVE-2026-126878, CVE-2026-126862, CVE-2026-126883). Полный перечень с привязкой к компонентам есть в бюллетене.

Затронутые версии

Уязвимы все сборки Chrome старше 157.0.8103.78 на Windows, macOS и Linux, а также Chrome для Android старше 157.0.8103.78. Обновление распространяется поэтапно, поэтому номер версии в конкретной системе может появиться с задержкой. Проверить текущую сборку можно в разделе «О браузере»: там же запускается обновление.

Настольный Chrome применяет патч только после перезапуска. Если браузер не закрывался днями, обновление может быть загружено, но не активно. В корпоративной среде стоит проверить, что политики не блокируют автообновление и что у пользователей нет закреплённой старой версии.

Если обновиться нельзя

Централизованной временной меры для этого набора ошибок нет: отключение JavaScript или WebGL ломает большинство современных сайтов. Реалистичный набор мер выглядит иначе. Ограничьте переходы на незнакомые ресурсы и загрузку файлов из недоверенных источников. Держите включённой изоляцию сайтов. Проверьте список разрешённых расширений и уберите всё, что не используется. Для критичных рабочих мест разумно ускорить переход на обновлённую сборку через политики управления.

После установки патча стоит убедиться, что он действительно применился: номер сборки должен быть не ниже 157.0.8103.78. В смежных продуктах на Chromium - Edge, Brave, Opera, Vivaldi - исправления приходят отдельными релизами, и их график обновления отличается. Если в периметре есть такие браузеры, проверьте их версии отдельно.