Google выпустила экстренные обновления безопасности Chrome, устраняющие новую уязвимость, которую уже используют в атаках. Это восьмая подобная уязвимость, исправленная в браузере с начала года.
В бюллетене безопасности от 9 ноября компания сообщила:
Google известно о применении эксплойта для CVE-2026-125350 в реальных атаках.
Уязвимость в XML-компоненте
Как пояснила Google, проблема связана с использованием данных после освобождения памяти – Use-After-Free (UAF) – в XML-компоненте Chrome. При обработке данных XML-парсер удаляет объект из памяти компьютера, но не очищает указатель на него.
Когда браузер впоследствии пытается обратиться к освобожденной области памяти, злоумышленники могут использовать эту ошибку для изменения содержимого памяти и выполнения вредоносного кода. Уязвимость получила высокий уровень опасности.
Google обнаружила свидетельства эксплуатации этой уязвимости нулевого дня, но подробности атак пока не раскрывает.
Компания отметила:
Доступ к сведениям об ошибке и связанным ссылкам может оставаться ограниченным, пока большинство пользователей не установит исправление. Мы также сохраним ограничения, если ошибка присутствует в сторонней библиотеке, от которой зависят другие проекты, еще не выпустившие исправления.
Обновления для Windows, macOS и Linux
Исправление уже выпущено в стабильном канале настольной версии Chrome. Для Windows и macOS распространяются версии 157.0.8103.50/.51, для Linux – 157.0.8103.50. По данным Google, доставка обновления всем пользователям может занять несколько дней или недель.
Если не обновлять браузер вручную, можно дождаться автоматической проверки: Chrome самостоятельно загрузит обновление и установит его после следующего запуска.
Обновление загружено на странице «О браузере Chrome», для его установки браузер нужно перезапустить. Изображение: Comss.ru
После перезапуска в Windows установлена версия 157.0.8103.51, в которой закрыта CVE-2026-125350. Изображение: Comss.ru
Исправление получают и другие браузеры на базе Chromium. Vivaldi 8.3.4191.35 для настольных систем, выпущенный 10 ноября, переведен на Chromium 156.0.8078.99 ESR, в который вошло исправление CVE-2026-125350. Microsoft 9 ноября сообщила, что ей известно об эксплойтах, и готовит исправление для Microsoft Edge. Последняя стабильная версия Edge 157.0.4341.42 вышла 5 ноября, до выпуска исправления в Chrome.
Другие уязвимости нулевого дня в Chrome
С начала года Google исправила еще семь уязвимостей, которые использовались в реальных атаках:
- CVE-2026-2441 – ошибка, связанная с потерей валидности итератора в CSSFontFeatureValuesMap, реализации значений параметров шрифтов CSS в Chrome. Google исправила ее в середине февраля.
- CVE-2026-3909 и CVE-2026-3910 – две уязвимости, устраненные в марте. Первая позволяла записывать данные за пределами выделенной памяти в графической библиотеке Skia, вторая была связана с некорректной реализацией в движке JavaScript и WebAssembly V8.
- CVE-2026-5281 – использование освобожденной памяти в Dawn, кроссплатформенной реализации стандарта WebGPU, которую использует проект Chromium. Google выпустила исправление в апреле.
- CVE-2026-11645 – чтение и запись за пределами выделенной памяти в движке JavaScript V8. Уязвимость использовалась в атаках и была исправлена в июне.
- CVE-2026-87491 и CVE-2026-85046 – запись за пределами выделенной памяти и путаница типов в V8. Обе уязвимости устранены в сентябре.
