Google выпустила срочное обновление безопасности для браузера Chrome, устраняющее сразу девять уязвимостей. Наибольшее внимание привлекла CVE-2026-125350: компания подтвердила, что способ её эксплуатации уже применяется в реальных атаках.
Уязвимость CVE-2026-125350 получила высокий уровень опасности и связана с ошибкой типа use-after-free в XML-компоненте Chrome. Подобные проблемы возникают, когда программа продолжает обращаться к участку оперативной памяти после того, как он уже был освобождён.
В определённых условиях такая ошибка может привести к повреждению памяти и выполнению злоумышленником подготовленного кода. Для проведения атаки потенциальной жертве может быть достаточно открыть специально сформированную веб-страницу в уязвимой версии браузера.
Google сообщила, что знает о существовании эксплойта для CVE-2026-125350, который уже используется в реальных условиях. При этом компания пока не раскрывает подробности атак, их масштабы и сведения о целях злоумышленников.
Уязвимость была зарегистрирована после сообщения анонимного исследователя безопасности, поступившего 6 ноября 2026 года. Спустя несколько дней исправление вошло в стабильное обновление Chrome.
Для Windows и macOS актуальными стали версии Chrome 157.0.8103.50 и 157.0.8103.51, а для Linux — 157.0.8103.50. Распространение обновления происходит постепенно, поэтому на отдельных устройствах новая сборка может появиться не одновременно.
Пользователям расширенной стабильной ветки Chrome также выпущено обновление 156.0.8078.96 для Windows и macOS. В нём исправлена та же уязвимость вместе с рядом других проблем безопасности.
Всего в обновлении основной стабильной версии Google устранила девять уязвимостей. Помимо CVE-2026-125350, среди них присутствуют ошибки высокого уровня опасности в WebGL, FileSystem, Compositing, GPU, движке JavaScript V8 и XML.
Одна из исправленных проблем связана с неправильной авторизацией в FileSystem, ещё одна — с переполнением буфера в компоненте Compositing. Также разработчики устранили возможность записи за пределами допустимой области памяти в GPU и ошибку смешения типов в V8.
Отдельная уязвимость CVE-2026-125346 также представляет собой ошибку use-after-free в XML. Она была обнаружена специалистом Neonix Security ещё 12 октября, однако Google не сообщала о её использовании в реальных атаках.
Техническая информация о CVE-2026-125350 пока ограничена. Google традиционно временно закрывает доступ к подробностям особенно опасных уязвимостей, пока обновление не установит значительная часть пользователей.
Такая мера должна затруднить создание новых эксплойтов на основе опубликованной технической информации. Ограничения могут сохраняться дольше, если проблема находится в стороннем компоненте, который используется и другими программными продуктами и ещё не был исправлен их разработчиками.
Поскольку Chrome обычно обновляется автоматически, многие пользователи получат исправление без дополнительных действий. Тем не менее при наличии активно эксплуатируемой уязвимости стоит проверить установленную версию браузера вручную и при необходимости запустить обновление.
После установки новой версии Chrome желательно полностью перезапустить. Пока браузер не закрыт и не запущен заново, обновлённые компоненты могут не примениться к уже работающему процессу.
Проблема потенциально важна и для пользователей других браузеров на основе Chromium. Microsoft Edge, Opera, Brave, Vivaldi и ряд других продуктов используют значительную часть общей кодовой базы, поэтому их разработчики также выпускают собственные обновления после исправлений безопасности Chromium.
При этом наличие уязвимости в Chrome не означает автоматически, что абсолютно каждая Chromium-программа эксплуатируется одинаковым способом. Реальный риск зависит от конкретной версии браузера, используемых компонентов и того, внедрил ли его разработчик соответствующее исправление.
CVE-2026-125350 стала очередной уязвимостью Chrome нулевого дня, для которой Google подтвердила существование атак до того, как большинство пользователей успели установить исправление. Подобные случаи особенно опасны тем, что злоумышленники располагают рабочим способом эксплуатации ещё до массового распространения защитного обновления.
Поэтому в случае с нынешним обновлением пользователям Chrome рекомендуется не откладывать установку новой версии. Даже без раскрытия подробностей конкретных атак подтверждение Google о применении эксплойта в реальных условиях делает CVE-2026-125350 одной из наиболее важных исправленных проблем безопасности браузера за последнее время.