Уязвимости затрагивают настольные сборки Google Chrome для Windows, macOS и Linux. Часть из них даёт выполнить произвольный код за пределами песочницы - изолированной среды, которая ограничивает доступ содержимого вкладки к системе. Другие приводят к чтению памяти, обходу политики происхождения и подмене данных, которые показывает браузер. Исправление вышло в стабильном канале.
Порча памяти, обращение к освобождённой памяти и проверка ввода
Большая часть проблем связана с работой с памятью. При порче памяти программа записывает данные за границы буфера или читает их оттуда. При обращении к освобождённой памяти она продолжает использовать участок, который уже вернула системе. В браузере такие ошибки обычно дают возможность исполнить чужой код. Оценки CVSS вендор не приводит; вместо неё указан уровень по собственной классификации Chromium - Critical, High или Medium.
Критический уровень получили, в частности, две ошибки. CVE-2026-118306 - порча памяти в компоненте FileSystem, который отвечает за доступ к файлам; она позволяет выполнить код вне песочницы, то есть с правами самого браузера. CVE-2026-118344 - обращение к освобождённой памяти в механизме вёрстки Layout; код при этом исполняется внутри песочницы, с ограничениями изолированной среды.
Остальные проблемы иного характера. Ошибки проверки ввода в движке JavaScript V8, в графической библиотеке Skia и в обработке файлов тоже ведут к исполнению кода. Часть записей описывает чтение памяти: оно раскрывает содержимое памяти браузера. Ошибки в компонентах Video и Forms позволяют обойти политику происхождения - правило, по которому страницы разных сайтов изолированы друг от друга. Ещё несколько записей связаны с подменой отображаемых данных и с недостаточной проверкой прав доступа.
Список затронутых компонентов широк: движок V8, библиотека Skia, просмотрщик PDF PDFium, кэш, подсистемы видео и звука, платёжные формы. Для администратора это значит, что срабатывание возможно при обычном просмотре сайта, а не только при обращении к редкой функции.
Атака идёт по сети, учётные данные не нужны. Участие пользователя сводится к открытию специально подготовленной страницы. Сведений об эксплуатации этих уязвимостей в реальных атаках в исходных данных нет. Записи CVE опубликованы 27 октября 2026 года, но детали ошибок Google временно закрыла: описания откроют, когда большинство пользователей установит исправление. Публикация записей означает, что доступны идентификаторы и краткие описания, а не подтверждение атак.
Что исправлено и как обновиться
Исправление вышло в стабильном канале Chrome: 156.0.8078.73 для Linux и 156.0.8078.73/.74 для Windows и macOS. Уязвимы сборки старше этих версий. В обновление вошли 52 исправления безопасности - столько называет Google. Раскатка идёт постепенно, в течение нескольких дней или недель, поэтому в парке какое-то время будут встречаться и уязвимые сборки.
Обходных мер вендор не приводит, в записях CVE они тоже не указаны. Отдельные записи дополнительно упоминают Chrome для Android, однако порядок обновления на этой платформе в источнике не описан.
Что сделать администратору
Обновить браузер до 156.0.8078.73 на Linux и до 156.0.8078.73/.74 на Windows и macOS. Проверить фактический номер сборки на рабочих местах, в том числе там, где обновления ставят централизованно. Отслеживать обновления уведомления, пока раскатка не завершится.
Часть ошибок нашли исследователи Xinyang Ge (Anthropic) при содействии Claude и специалисты OpenAI Codex Security; проблему в модуле WebRTC передала Mozilla. Для рабочего места браузер остаётся постоянной точкой контакта с внешним содержимым. Ошибка, дающая исполнение кода вне песочницы, равнозначна компрометации браузера целиком, а не отдельной вкладки, поэтому установку исправления лучше не откладывать.
Ссылки
