Google выпускает стабильное обновление Chrome с исправлениями девяти уязвимостей. Часть из них позволяет удалённо выполнить код на атакованной системе. Другие дают обойти ограничения безопасности или вызвать отказ в обслуживании. Затронуты сборки для Windows, macOS и Linux, то есть браузер на большинстве рабочих мест.
Что известно об ошибках
Обновление датировано 9 ноября 2026 года. Эксплуатация возможна по сети: доступ к самой машине и учётные данные не нужны. Более конкретные условия Google не раскрывает, пока большинство пользователей не получит исправление. Компания придерживает детали и тогда, когда ошибка сидит в сторонней библиотеке, которую ещё не починили её разработчики. Об эксплуатации этих уязвимостей в реальных атаках источник не сообщает.
Память и графика
Запись за границы буфера означает, что программа меняет память, которая ей не выделена. Такая ошибка нашлась в компоненте GPU (CVE-2026-125348), ей присвоен уровень High. Второй случай того же рода - несоответствие типов в движке V8 (CVE-2026-125344), тоже High. V8 исполняет скрипты любой открытой страницы, поэтому его ошибки касаются всех, кто просто работает в браузере.
Отдельно идут неинициализированные ресурсы. Программа отдаёт наружу блок памяти, до которого не дошла очередь записи, и читатель получает остатки чужих данных. В WebGL, интерфейсе для трёхмерной графики, это CVE-2026-125345 с уровнем High. В GPU таких ошибок две - CVE-2026-125349 и CVE-2026-125342, обе Medium. Сами по себе они дают утечку, зато в связке с другими упрощают подготовку атаки.
Права, файлы и XML
В FileSystem API обнаружилась некорректная проверка прав (CVE-2026-125347, High). Рядом - переполнение буфера в модуле Compositing (CVE-2026-125343, High). Этот модуль собирает слои страницы в готовую картинку, и ошибка в нём срабатывает на этапе отрисовки, а не при разборе скриптов. Оба компонента расширяют поверхность атаки за пределы JavaScript.
Ещё одна пара - использование памяти после освобождения в разборе XML. Первую ошибку нашёл Arni Hardarson из Neonix Security (CVE-2026-125346), вторую прислал анонимный исследователь (CVE-2026-125350). Обе помечены как High. Механика у них общая: объект удаляют, ссылка на него остаётся, и программа работает с чужими данными по этой ссылке. Для администратора важно другое - XML приходит извне, вместе с документами и ответами веб-сервисов.
Что делать администратору
Исправления вышли в Chrome 157.0.8103.50 для Linux. Для Windows и macOS доступны сборки 157.0.8103.50/.51. Google раздаёт обновление волнами, поэтому в ближайшие дни и недели номер версии на разных машинах будет отличаться. Номер сборки виден в разделе "О браузере".
Автообновление выключено далеко не везде. В корпоративном парке версию лучше проверить вручную, а не ждать, пока браузер обновится сам. Применяется исправление после перезапуска: пользователю нужно закрыть все окна Chrome, включая фоновые. Иначе старая версия продолжит работать до конца сеанса.
Обходных мер источник не приводит. Пока сборка 157.0.8103.50 не установлена, машина остаётся уязвимой, поскольку все более ранние версии Chrome в бюллетене названы затронутыми. Отдельной команды реагирования на инциденты здесь не требуется - достаточно закрыть обновление на всех устройствах и сверить фактическую версию с эталонной.
Ссылки
