Google пусна извънредни актуализации за Chrome, след като установи експлоатиране на нова уязвимост от нулев ден в реални атаки. Проблемът CVE-2026-125350 е с висока степен на сериозност и засяга XML компонента на браузъра. Това е осмата уязвимост от този тип в Chrome, за която Google съобщава от началото на годината.
Компанията потвърди наличието на експлойт за CVE-2026-125350 в реална среда в бюлетин за сигурност, публикуван в понеделник. Не бяха предоставени допълнителни подробности за атаките, техните извършители или засегнатите потребители.
Use-After-Free уязвимост в XML компонента
Проблемът произтича от слабост от типа Use-After-Free (UAF) в XML компонента на Chrome. Тя възниква, когато XML парсерът обработва данни и освобождава обект от паметта на компютъра, но не изчиства указателя, който продължава да сочи към вече освободената област.
Ако браузърът впоследствие се опита да използва или прочете тази памет, нападател може да се възползва от несъответствието, за да манипулира нейното съдържание и да изпълни злонамерен код.
Google потвърждава, че уязвимостта се експлоатира активно, но засега ограничава достъпа до техническите подробности и връзките към информацията за грешката. Компанията обяснява, че тази практика цели да даде време на по-голямата част от потребителите да инсталират корекцията. Ограниченията могат да останат в сила и когато проблемът засяга библиотека на трета страна, от която зависят други проекти, все още без налична поправка.
Налична е актуализация за Windows, macOS и Linux
Корекцията е включена в новите версии на Chrome в стабилния канал за настолни компютри:
- Windows: 157.0.8103.51;
- macOS: 157.0.8103.50 и 157.0.8103.51;
- Linux: 157.0.8103.50.
Google предупреждава, че разпространението на актуализацията до всички потребители може да отнеме дни или седмици. Потребителите могат да проверят за нея ръчно от менюто на Chrome, чрез Help → About Google Chrome. Браузърът ще потърси налични актуализации и ще ги инсталира, след което трябва да бъде рестартиран.
Осем активно експлоатирани уязвимости от началото на годината
CVE-2026-125350 е осмата уязвимост от нулев ден в Chrome, за която Google потвърждава експлоатиране в реални атаки през 2026 г. Предишните седем включват:
- CVE-2026-2441 – проблем с невалидно състояние на итератор в CSSFontFeatureValuesMap, отстранен през февруари.
- CVE-2026-3909 – уязвимост от типа Out-of-Bounds Write в графичната библиотека Skia, поправена през март.
- CVE-2026-3910 – неправилна реализация в JavaScript и WebAssembly енджина V8, също отстранена през март.
- CVE-2026-5281 – Use-After-Free уязвимост в Dawn, реализацията на WebGPU в проекта Chromium, поправена през април.
- CVE-2026-11645 – уязвимост от типа Out-of-Bounds Read/Write в JavaScript енджина V8, отстранена през юни.
- CVE-2026-87491 – Out-of-Bounds Write уязвимост във V8, поправена през септември.
- CVE-2026-85046 – Type Confusion уязвимост във V8, също отстранена през септември.
През 2025 г. Google отстрани още осем уязвимости от нулев ден в Chrome, за които имаше данни за експлоатиране в реални атаки. Част от тях бяха докладвани от екипа Threat Analysis Group (TAG) на компанията, който следи експлойти от нулев ден, използвани включително при шпионски операции.
