Корпорация Google выпустила экстренное обновление безопасности для браузера Chrome 138, направленное на устранение критической уязвимости типа zero-day, которая активно эксплуатируется злоумышленниками. Уязвимость, зарегистрированная под идентификатором CVE-2025-6558, затрагивает компоненты ANGLE и GPU браузера, что может позволить злоумышленникам выполнять произвольный код на уязвимых системах.
Обнаружена критическая уязвимость нулевого дня
Группа анализа угроз (Threat Analysis Group) Google обнаружила данную уязвимость высокой степени опасности, связанную с некорректной проверкой непроверенных входных данных. Этот дефект в обработке графических компонентов может быть использован для проведения атак, включая удаленное выполнение кода.
Исследователи безопасности Google, Клеман Лесинь (Clément Lecigne) и Владислав Столяров (Vlad Stolyarov), выявили уязвимость 23 июня 2025 года. Наиболее тревожным аспектом является официальное подтверждение Google того факта, что «эксплойт для CVE-2025-6558 уже используется в реальных атаках». Это означает, что хакеры начали эксплуатацию уязвимости еще до того, как разработчики успели выпустить патч, что подвергает пользователей серьезному риску.
Экстренное обновление уже распространяется на все платформы через версии Chrome 138.0.7204.157/158 для Windows и macOS, а также 138.0.7204.157 для Linux. Android-версия браузера получит аналогичные исправления в ближайшие дни через магазин приложений Google Play.
Помимо zero-day уязвимости, обновление содержит исправления для других серьезных проблем безопасности, включая переполнение целочисленного типа в движке V8 (CVE-2025-7656) и уязвимость типа use-after-free в WebRTC (CVE-2025-7657). Первая из них была обнаружена исследователем Шахином Фазимом (Shaheen Fazim), который получил вознаграждение в размере $7000 за отчет, а вторая была выявлена независимым специалистом jakebiles.
Google активно применяет передовые технологии анализа безопасности, такие как AddressSanitizer, MemorySanitizer и различные методы фаззинга, чтобы заранее обнаруживать и устранять потенциальные угрозы до их попадания в стабильную версию браузера. Однако в данном случае уязвимость была обнаружена уже после начала ее эксплуатации в реальных атаках.
Пользователям настоятельно рекомендуется немедленно обновить браузер, чтобы защититься от возможного взлома. Хотя большинство систем автоматически загружают и устанавливают патчи, пользователи могут вручную проверить наличие обновлений, перейдя в раздел «Настройки» → «О браузере Chrome».
Google также последовательно придерживается политики ответственного раскрытия информации, временно ограничивая доступ к деталям уязвимости до тех пор, пока большинство пользователей не обновят свои браузеры. Это стандартная практика, позволяющая минимизировать риски массовых атак на еще не обновленные системы.
Эксперты по кибербезопасности подчеркивают, что задержка с установкой обновления может привести к серьезным последствиям, включая компрометацию данных, кражу учетных записей и даже установку вредоносного ПО. Поскольку Chrome является одним из самых популярных браузеров в мире, его уязвимости представляют особый интерес для киберпреступников.
В прошлом подобные zero-day уязвимости часто использовались для целевых атак на журналистов, активистов и коммерческие организации, поэтому своевременное обновление остается ключевым элементом защиты.
На данный момент не поступало сообщений о массовых атаках, однако отдельные случаи эксплуатации уже зафиксированы. Google продолжает мониторить ситуацию и призывает всех пользователей соблюдать базовые правила цифровой гигиены, включая использование надежных паролей, двухфакторной аутентификации и установку последних обновлений безопасности.
В ближайшие дни ожидается дополнительная информация о возможных векторах атаки и способах защиты. В случае обнаружения подозрительной активности в браузере рекомендуется обратиться в службу поддержки Google и провести полную проверку системы на наличие вредоносного ПО.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2025-6558
- https://www.cve.org/CVERecord?id=CVE-2025-7656
- https://www.cve.org/CVERecord?id=CVE-2025-7657
