Google устранил уязвимость нулевого дня CVE-2025-13223 в Chrome, которая эксплуатировалась в реальных атаках

Google выпустил экстренное обновление безопасности для исправления уязвимости нулевого дня в Chrome, которая использовалась в атаках в этом году.

В бюллетени по безопасности компания предупредила:

Компания Google осведомлена о том, что эксплойт для CVE-2025-13223 уже существует в реальных условиях.

Эта уязвимость высокой степени опасности вызвана ошибкой смешения типов в движке JavaScript V8, о которой на прошлой неделе сообщил Клеман Лесинь (Clement Lecigne) из команды Threat Analysis Group (TAG) компании Google. TAG Google регулярно выявляет эксплойты нулевого дня, которые используют государственные хакерские группы в шпионских кампаниях против людей из группы риска — журналистов, оппозиционных политиков и диссидентов.

Google закрыл эту уязвимость нулевого дня, выпустив обновления Chrome: 142.0.7444.175/.176 для Windows, 142.0.7444.176 для macOS и 142.0.7444.175 для Linux.

Хотя новые версии будут распространяться среди всех пользователей в стабильном канале в течение ближайших недель, исправление уже доступно для установки.

Несмотря на то, что браузер Chrome автоматически обновляется при выходе обновлений безопасности, пользователи также могут вручную убедиться, что у них установлена последняя версия, перейдя в меню Chrome > Cправка > О браузере Google Chrome, дождаться завершения загрузки обновления, а затем нажать кнопку Перезапустить для завершения установки.

Хотя Google уже подтвердил, что уязвимость CVE-2025-13223 использовалась в атаках, компания пока не раскрыла дополнительные сведения об активной эксплуатации.

Компания отметила:

Доступ к дополнительным сведениям о проблеме и связанным ссылкам может быть ограничен до тех пор, пока большинство пользователей не обновит браузер до исправленной версии. Мы также будем сохранять ограничения, если ошибка затрагивает стороннюю библиотеку, от которой зависят другие проекты, но которая пока не была исправлена.

Это уже седьмая уязвимость нулевого дня в Chrome, использованная в атаках и исправленная Google в этом году. Еще шесть уязвимостей были исправлены в марте, мае, июне, июле и сентябре.

В сентябре и июле компания устранила две активно эксплуатируемые уязвимости нулевого дня (CVE-2025-10585 и CVE-2025-6558), обнаруженные исследователями Google TAG.

В мае Google выпустил дополнительные экстренные обновления безопасности, чтобы исправить уязвимость нулевого дня (CVE-2025-4664), которая позволяла злоумышленникам перехватывать учетные записи. Эти обновления также устранили ошибку чтения и записи данных за пределами буфера (CVE-2025-5419) в движке V8, выявленную Google TAG в июне.

В марте Google также устранил уязвимость высокой опасности, позволяющую выйти из песочницы (CVE-2025-2783), о которой сообщила «Лаборатория Касперского» и которая использовалась в шпионских атаках против российских СМИ и государственных организаций.