Google 9 ноября выпустила обновление Chrome, закрывающее уязвимость CVE-2026-125350, для которой уже существует применяемый в реальных атаках эксплойт. Чтобы исправленный код начал работать, браузер необходимо перезапустить.
Ошибка высокой опасности находится в компоненте обработки XML. Это уязвимость типа use-after-free: программа обращается к участку памяти после его освобождения. Подобные ошибки могут вызвать сбой, обход ограничений безопасности или выполнение вредоносного кода. Технические детали атаки пока ограничены, а данные о злоумышленниках и их целях не раскрыты.
Исправление вошло в Chrome 157.0.8103.50 и 157.0.8103.51 для Windows и macOS и в версию 157.0.8103.50 для Linux. Всего ноябрьский выпуск содержит девять исправлений безопасности: семь ошибок получили высокую оценку опасности, две — среднюю. Эксплуатация подтверждена только для CVE-2026-125350.
Читайте также
Обновление распространяется постепенно и может появиться на отдельных компьютерах лишь через несколько дней или недель. Проверить его можно через меню с тремя точками: «Справка» → «О браузере Google Chrome». На этой странице Chrome проверит доступность новой версии и после установки предложит перезапуск. Если браузер продолжает работать без перезапуска, старый уязвимый код остаётся активным.
На Windows и macOS после перезапуска должна отображаться версия 157.0.8103.50, 157.0.8103.51 или более новая; на Linux — 157.0.8103.50 или более новая. Для устройств на канале Extended Stable исправленная версия — 156.0.8078.96.
Компаниям с централизованным управлением Chrome стоит проверить не только доставку обновления на рабочие компьютеры, но и фактический перезапуск браузера. Для Android версия 157.0.8103.50 распространяется через Google Play в течение нескольких дней.
Обновление важно установить сейчас именно из-за подтверждённой эксплуатации: это не только потенциальная ошибка, обнаруженная исследователями, а уязвимость, для которой у атакующих уже есть рабочий инструмент.
