Несколько уязвимостей в компонентах браузера Chrome позволяют удалённо выполнить код, вызвать отказ в обслуживании и обойти ограничения безопасности в ChromeOS. Проблемы затрагивают систему и её вариант ChromeOS Flex. Google закрыла их в стабильной сборке 16836.30.0 с браузером 156.0.8078.77. Сведений об эксплуатации этих уязвимостей в реальных атаках нет.
Повреждение памяти и проверка входных данных в компонентах Chrome
Дефекты сосредоточены в разных частях браузера, который входит в состав системы. Анимация и композиция слоёв (сведение отдельных слоёв страницы в итоговое изображение) отвечают за отрисовку, Paint - за подготовку кадра. FileAPI даёт странице доступ к файлам, Payments связан с платежами, WebAudio - со звуком, ReadingList - со списком для чтения, UI - с интерфейсом. Через эти компоненты браузер обрабатывает внешние данные, поэтому ошибки в них удобны для атаки со стороны веб-страницы.
По типу проблемы делятся на несколько групп. Использование памяти после освобождения означает обращение к области памяти, которую программа уже вернула системе. Некорректная проверка входных данных позволяет подать на вход значение, которое компонент не ожидает. Повреждение памяти возникает, когда программа записывает данные за пределы отведённой области. Любая из этих групп в руках злоумышленника ведёт к сбою или к выполнению чужого кода.
Атака идёт по сети. Злоумышленник готовит специально сформированную HTML-страницу, а срабатывание происходит при её открытии. Источники не уточняют, нужны ли учётные данные и требуется ли участие пользователя сверх открытия страницы; детали остаются в записях CVE и сообщении ChromeOS. Часть проблем даёт выполнение кода внутри песочницы (изолированной среды), часть - за её пределами. Выполнение за пределами песочницы означает, что ограничения браузера на доступ к системе не удерживают код.
Числовой оценки CVSS источники не приводят. Google помечает как Critical некорректную проверку входных данных в FileAPI (CVE-2026-118331), другие проблемы компания отнесла к уровню High. Сводное уведомление относит набор к уровню Medium Risk. ChromeOS и браузер нумеруются отдельно, поэтому в сообщении вендора два номера.
Затронуты ChromeOS и ChromeOS Flex с версиями системы ниже 16836.30.0. В записях CVE фигурирует Chrome до версии 156.0.8078.73, однако исправленную версию сами записи не называют. Одна из записей, CVE-2026-118309, относится к Chrome под управлением Android. В стабильной сборке ChromeOS браузер получил номер 156.0.8078.77, и это более позднее состояние, чем в записях CVE.
Исправление вышло 28 октября 2026 года в стабильном канале. Обходных мер Google не приводит: остаётся установка сборки 16836.30.0 и отслеживание уведомления. Устройства на стабильном канале получают её автоматически, поэтому основное действие - сверить версию системы с 16836.30.0, а версию браузера с 156.0.8078.77. Ссылок на эксплойт (вредоносный код, использующий уязвимость) записи CVE не содержат, данных о работе эксплойтов в реальных атаках тоже нет.
Проблемы лежат в частях браузера, которые обрабатывают содержимое веб-страниц. Поэтому набор затрагивает любой сценарий работы с вебом на устройстве под ChromeOS, а не отдельную функцию системы.
Ссылки
