Chrome 156 закрывает 353 уязвимости, шесть из них Google относит к критическим. Повреждение памяти в Skia, WebRTC, Accessibility, CSS и Paint, а также использование памяти после освобождения в Accessibility позволяют атакующему вызвать отказ в обслуживании, обойти ограничения безопасности, раскрыть чувствительные данные и выполнить произвольный код. Затронуты сборки старше 156.0.8078.47 для Linux и старше 156.0.8078.47/.48 для Windows и macOS. Вектор атаки сетевой, аутентификация не требуется: срабатывание происходит при открытии специально сформированной страницы.
Классы уязвимостей в Chrome 156 и пострадавшие компоненты
Большая часть исправлений приходится на два класса ошибок. Повреждение памяти означает запись за границы выделенного буфера, а использование памяти после освобождения - обращение к области, которую программа уже вернула системе. Первый класс встречается в Skia, CSS, Paint, WebRTC и Accessibility, второй - в Accessibility, SiteIsolation, FileSystem, Network, Passwords, V8 и GPU. Ещё одна группа связана с некорректной проверкой входных данных, такие ошибки найдены в ANGLE, Views, Date, Proxy и FileSystem. Отдельно в списке идут чтение за границами буфера в Bluetooth, Media и Focus, а также ошибки управления доступом в Extensions и DevTools.
Skia отвечает за отрисовку графики, ANGLE транслирует вызовы WebGL. В бюллетене ANGLE упоминается около двадцати раз, что делает компонент самым частым источником ошибок выпуска. Использование памяти после освобождения в SiteIsolation получило идентификатор CVE-2026-113101: проблема ведёт к обходу ограничений безопасности и выходу за пределы песочницы (изолированной среды). Критическое повреждение памяти в Skia идёт под идентификатором CVE-2026-113341. Обе ошибки требуют сетевого доступа и не требуют учётных данных.
Суммы вознаграждений в этом выпуске доходят до 10 000 долларов за обход изоляции сайтов, ещё ряд отчётов оценён в 3000 и 2000 долларов. Среди авторов сообщений - Xinyang Ge из Anthropic, работавший с помощью Claude, и специалисты OpenAI Codex Security. Часть сообщений поступила задолго до выпуска: одна из ошибок использования памяти после освобождения в SiteIsolation описана в 2021 году, ошибка в Cookies - в 2022-м. Google закрывает такие отчёты вместе с очередным крупным обновлением. Детали большинства проблем раскрывают только после того, как исправление установит основная часть пользователей. Сведений об эксплуатации этих уязвимостей в реальных атаках нет.
Исправленные сборки и порядок установки
Исправление входит в Chrome 156.0.8078.47 для Linux и в 156.0.8078.47/.48 для Windows и macOS. Обновление распространяется автоматически, волна установки занимает несколько дней или недель. Номер сборки проверяют в разделе "О браузере", он должен быть не ниже 156.0.8078.47. Пользователям без прав администратора обновление приходит при следующем перезапуске браузера.
Повреждение памяти остаётся основным классом проблем Chrome: в 156-м выпуске на него и на использование памяти после освобождения приходится большая часть из 353 исправлений. Тот же набор классов ошибок повторяется от выпуска к выпуску, а графические и сетевые компоненты попадают в бюллетень стабильно.
Действия администратора
Обновить браузер до 156.0.8078.47 на Linux и до 156.0.8078.47/.48 на Windows и macOS. Проверить версию на управляемых рабочих местах, где автоматическое обновление отключено политиками. Запретить работу в сборках старше указанных до установки патча. Для устройств с длительным циклом обновления ограничить доступ к внешним сайтам.
Шесть критических уязвимостей и несколько десятков высоких оценок делают 156-й выпуск обязательным к установке. Промедление оставляет открытым сетевой вектор с выполнением кода и обходом песочницы.
Ссылки
