Обновление ChromeOS M-156 закрывает 12 критических уязвимостей браузера и опасные дефекты ядра

20 октября 2026 года Google выпустила обновление ChromeOS M-156 (версия 16836.19.0, браузер 156.0.8078.42) для стабильного канала, согласно официальному бюллетеню. Обновление устраняет 12 критических уязвимостей в компоненте браузера Chrome, десятки уязвимостей высокой степени серьёзности, а также опасные дефекты на уровне ядра в драйверах Mali и компоненте arc-keymaster, способные привести к повреждению памяти ядра и выходу из гостевой среды. Пользователям ChromeOS и ChromeOS Flex рекомендуется немедленно применить обновление.

Критические уязвимости браузера

Обновление закрывает 12 уязвимостей, которым Google присвоила уровень Critical. Подавляющее большинство из них относятся к классу use after free (использование освобождённой памяти) — одному из наиболее опасных типов дефектов, позволяющих атакующему перехватить управление потоком выполнения программы. Критические уязвимости затрагивают широкий спектр компонентов браузера:

• CVE-2026-106347 — use after free в Track
• CVE-2026-106358 — use after free в Navigation
• CVE-2026-110151 — use after free в Media
• CVE-2026-110148 — use after free в SVG
• CVE-2026-110161 — use after free в Network
• CVE-2026-110136 — use after free в PDF
• CVE-2026-110149 — use after free в Browser
• CVE-2026-110922 — use after free в Prerender
• CVE-2026-113271 — use after free в Accessibility
• CVE-2026-113303 — повреждение памяти в WebRTC
• CVE-2026-113280 — повреждение памяти в Paint
• CVE-2026-113072 — повреждение памяти в CSS

По данным NVD, для CVE-2026-110151 и CVE-2026-110148 удалённый атакующий может выполнить произвольный код внутри песочницы через специально сформированную HTML-страницу. Оценка CISA-ADP по CVSS 3.1 для обеих уязвимостей составляет 8.8 (High) с вектором AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Стоит отметить, что Google классифицирует эти уязвимости как Critical по собственной шкале серьёзности Chromium, тогда как CISA-ADP присваивает квалификационный рейтинг High — это разные системы оценки, и их не следует смешивать.

Помимо критических, обновление включает более 50 уязвимостей уровня High, среди которых — use after free в V8, WebRTC, Media, PDF, DOM, Passwords, Canvas, а также type confusion в V8 (CVE-2026-106240, CVE-2026-110140), повреждение памяти в V8, SVG, Core, Dawn, ServiceWorker, а также ошибки авторизации в FileSystem и Updater.

Уязвимости на уровне ядра и сторонних компонентов

Особого внимания заслуживают исправления, выходящие за рамки браузерного кода и затрагивающие системные компоненты ChromeOS:

• arc-keymaster — ошибка неопределённого поведения (fall-off-end UB) в функции CrosKeyFactory::GetOperationFactory позволяет выполнить произвольный непрямой вызов из гостевой среды в хостовую (guest-to-host). Уровень серьёзности — High.
• mali_kbase — двойное освобождение (double-free) структуры dma_buf_attachment в пути обработки ошибок kbase_mem_from_umm приводит к повреждению памяти ядра. Уровень — High.
• Mali (mt8196) — use after free при миграции страниц в kbase_vmap_phy_pages позволяет непривилегированному пользователю повредить память ядра на устройствах с чипом mt8196. Уровень — High.
• Сторонние CA-сертификаты — компрометация сторонних сертификатов центров сертификации приводит к компрометации TLS для всех клиентов. Уровень — Medium.

Уязвимости в драйверах Mali и arc-keymaster представляют особую опасность: они позволяют атакующему, получившему начальный доступ через браузерный эксплойт, потенциально выйти за пределы песочницы и получить контроль на уровне ядра или хостовой системы. Это превращает цепочку эксплуатации из ограниченного выполнения кода в песочнице в полную компрометацию устройства.

Оценка воздействия

Масштаб обновления — один из крупнейших для ChromeOS в 2026 году. Двенадцать критических уязвимостей в одном релизе — нетипичная ситуация. Ранее мы анализировали обновление Chrome 153 с пятью критическими уязвимостями, которое уже считалось значительным.

Наибольшему риску подвержены организации, использующие ChromeOS в образовательных учреждениях и корпоративных средах, где устройства Chromebook массово развёрнуты и могут обновляться с задержкой. Устройства на базе чипа mt8196 дополнительно уязвимы через дефект драйвера Mali. Имеющиеся данные не содержат информации об активной эксплуатации перечисленных уязвимостей, однако отсутствие таких сведений не означает, что эксплуатация не происходит.

Рекомендации

1. Немедленно обновите ChromeOS до версии 16836.19.0 (браузер 156.0.8078.42) через стабильный канал. Для управляемых парков устройств — инициируйте принудительное обновление через консоль администрирования Google.
2. Проверьте текущую версию на каждом устройстве: Настройки → О ChromeOS. Убедитесь, что версия браузера не ниже 156.0.8078.42.
3. Для устройств на mt8196 — приоритизируйте обновление из-за уязвимости драйвера Mali, позволяющей непривилегированное повреждение памяти ядра.
4. Ознакомьтесь с бюллетенем безопасности Android за октябрь 2026 года — обновление ChromeOS включает и эти исправления.

Учитывая 12 критических уязвимостей браузера с возможностью удалённого выполнения кода через вредоносные HTML-страницы и три дефекта уровня ядра, способных привести к полной компрометации устройства, откладывать применение этого обновления нельзя. Администраторам управляемых парков ChromeOS следует запустить принудительное обновление до версии 16836.19.0 в ближайшие часы, а не дни.