Новая уязвимость в Google Chrome используется в реальных атаках: CISA предупреждает об опасности CVE-2026-5281

Американское Агентство по кибербезопасности и безопасности инфраструктуры (CISA) пополнило свой каталог известных эксплуатируемых уязвимостей (Known Exploited Vulnerabilities) новой опасной записью. Речь идёт об уязвимости CVE-2026-5281, затрагивающей компонент Dawn в браузере Google Chrome. Включение в этот каталог происходит только при наличии веских доказательств активного использования уязвимости злоумышленниками в реальном мире. Данное событие служит прямым сигналом для специалистов по информационной безопасности и системных администраторов по всему миру о необходимости срочного принятия мер, так как атаки уже начались.

Детали уязвимости CVE-2026-5281

Техническая суть проблемы заключается в так называемом использовании памяти после её освобождения (use-after-free) в компоненте Dawn, который является кроссплатформенной реализацией API веб-графики WebGPU в Chrome. Если упростить, то это классическая ошибка управления памятью. В процессе работы браузера определённый участок оперативной памяти освобождается, но указатель на него продолжает существовать. Если злоумышленнику удаётся повторно использовать этот участок памяти, заполнив его контролируемыми данными, он может перенаправить выполнение кода в нужное ему место. В контексте CVE-2026-5281, для успешной эксплуатации атакующему необходимо предварительно скомпрометировать процесс рендеринга (отображения страницы). После этого, заманив жертву на специально созданную вредоносную веб-страницу, он получает возможность выполнить произвольный код в контексте браузера. Разработчики Chrome присвоили этой уязвимости высокий уровень серьёзности.

Включение CVE-2026-5281 в каталог KEV - это не просто техническое уведомление. Это официальный признак того, что киберпреступные группировки или субъекты, занимающиеся кибершпионажем, уже включили эксплойт для этой уязвимости в свой арсенал. Каталог KEV, по сути, является кураторским списком наиболее опасных на данный момент "дыр", которые представляют непосредственную угрозу для федеральных органов власти США. Однако, учитывая глобальное распространение Chrome, угроза затрагивает корпоративный и частный сектор по всему миру. Злоумышленники могут использовать эту уязвимость для таргетированных атак на конкретных пользователей, например, сотрудников определённых компаний или государственных учреждений, с целью установки шпионского программного обеспечения, кражи конфиденциальных данных или дальнейшего продвижения по корпоративной сети.

Последствия успешной эксплуатации могут быть крайне серьёзными. Поскольку уязвимость позволяет выполнить код, это открывает путь для полного контроля над браузером жертвы. На практике это означает возможность кражи файлов cookie сессий, паролей, данных банковских карт, хранящихся в браузере, а также перехвата всей вводимой информации. Для корпоративной среды ещё большую опасность представляет риск так называемого "второго этапа" атаки, когда после компрометации рабочей станции злоумышленники разворачивают программы-вымогатели или используют её как плацдарм для атак на внутренние серверы. Учитывая, что вектор атаки - это посещение веб-страницы, традиционные периметровые средства защиты, такие как межсетевые экраны (файрволы), могут оказаться неэффективными.

К счастью, Google уже выпустил патч, устраняющий эту проблему. Согласно данным о продукте, уязвимость затрагивала версии Chrome до 146.0.7680.178. Таким образом, актуальная версия 146.0.7680.178 и все последующие являются защищёнными. Это подчёркивает критическую важность своевременного обновления программного обеспечения как базовой меры кибергигиены. Между тем, многие организации и пользователи откладывают установку обновлений из-за опасений нарушить работоспособность бизнес-приложений или просто по невнимательности. В данном случае подобная задержка создаёт окно уязвимости, которым активно пользуются противники.

Что же делать специалистам и рядовым пользователям? Рекомендации CISA в таких случаях однозначны: необходимо принудительно и в срочном порядке обновить Google Chrome до последней стабильной версии на всех конечных точках. Для корпоративных сред это означает использование централизованных систем управления обновлениями, которые позволяют быстро развернуть исправление на всех компьютерах в сети. Кроме того, в качестве дополнительных мер защиты можно рассмотреть применение решений класса EDR (Endpoint Detection and Response - обнаружение и реагирование на конечных точках) для выявления аномального поведения процессов браузера, а также строгое ограничение прав пользователей для минимизации последствий потенциального взлома. Однако, ключевым и самым эффективным действием остаётся именно установка патча.

Этот инцидент в очередной раз демонстрирует, насколько динамичной является современная киберугроза. Уязвимости переходят из разряда теоретических в категорию активно эксплуатируемых за считанные дни. Мониторинг авторитетных источников, таких как каталог CISA KEV, и оперативное реагирование на их предупреждения должны стать неотъемлемой частью процесса управления уязвимостями в любой организации. Игнорирование таких сигналов, особенно когда речь идёт о программном обеспечении с миллиардной аудиторией, равносильно сознательному принятию на себя неоправданно высоких рисков.

Детали уязвимости CVE-2026-5281

Ссылки