Google випустила екстрене оновлення безпеки для Chrome, яке закриває вразливість CVE-2026-125350 — її зловмисники вже використовують в атаках. Це восьма активно експлуатована вразливість нульового дня у браузері від початку 2026 року.
Що відомо про вразливість
«Google відомо, що експлойт для CVE-2026-125350 існує в реальних умовах», — йдеться в бюлетені безпеки, який компанія оприлюднила в понеділок, 9 листопада.
Вразливість має високий рівень небезпеки й належить до класу use-after-free (UAF, «використання після звільнення») у компоненті XML браузера. Помилка виникає, коли XML-парсер під час обробки даних видаляє обʼєкт із памʼяті, але не очищає вказівник, що на нього посилається. Якщо браузер згодом звертається до цієї вже «звільненої» ділянки памʼяті, зловмисник може маніпулювати розміщенням даних у ній і виконати шкідливий код.
Згідно з бюлетенем, про вразливість анонімно повідомили 6 листопада, тож виправлення вийшло вже за три дні. Загалом оновлення закриває девʼять вразливостей, серед яких ще одна помилка use-after-free у тому самому компоненті XML (CVE-2026-125346), однак про її використання в атаках Google не повідомляє.
Подробиць атак компанія не розкриває. Google традиційно обмежує доступ до технічних деталей і посилань на баг-трекер, доки більшість користувачів не встановить виправлення, а також у випадках, коли помилка міститься в сторонній бібліотеці, від якої залежать інші проєкти, що ще не випустили власних патчів.
Як оновити Chrome
Виправлення вже доступне в стабільному каналі для десктопів: Chrome 157.0.8103.50/.51 для Windows і macOS та 157.0.8103.50 для Linux. Google попереджає, що розгортання може тривати від кількох днів до кількох тижнів, однак, за даними BleepingComputer, оновлення вже можна встановити.
Chrome завантажує оновлення автоматично, але нова версія запрацює лише після перезапуску браузера. Щоб оновитися негайно, потрібно відкрити меню (⋮) → «Довідка» → «Про Google Chrome» або ввести в адресному рядку chrome://settings/help. Браузер сам знайде й завантажить оновлення, після чого залишиться натиснути «Перезапустити». Докладніше — в інструкції про перевірку оновлень Chrome.
Вісім вразливостей нульового дня з початку року
Окрім CVE-2026-125350, від початку 2026 року Google закрила в Chrome ще сім вразливостей нульового дня, які використовували в атаках:
- CVE-2026-2441 — помилка інвалідації ітератора в CSSFontFeatureValuesMap (реалізації значень CSS font feature values у Chrome), виправлена в середині лютого.
- Дві вразливості, виправлені в березні: запис за межами буфера у бібліотеці 2D-графіки Skia (CVE-2026-3909) та некоректна реалізація в рушії V8 для JavaScript і WebAssembly (CVE-2026-3910).
- CVE-2026-5281 — use-after-free у Dawn, кросплатформній реалізації стандарту WebGPU, яку використовує проєкт Chromium; виправлена у квітні.
- CVE-2026-11645 — читання та запис за межами памʼяті в рушії V8, виправлена в червні.
- CVE-2026-87491 і CVE-2026-85046 — відповідно запис за межами буфера та плутанина типів (type confusion) у V8; обидві виправлені у вересні.
У 2025 році Google виправила вісім вразливостей нульового дня в Chrome, які використовували в атаках. Про багато з них повідомила Група аналізу загроз Google (Threat Analysis Group, TAG), яка відстежує експлойти нульового дня, що застосовують у кампаніях зі шпигунським ПЗ.
