Оновлення ChromeOS M-156 усуває 12 критичних вразливостей браузера та небезпечні дефекти ядра

20 жовтня 2026 року Google випустила оновлення ChromeOS M-156 (версія 16836.19.0, браузер 156.0.8078.42) для стабільного каналу, відповідно до офіційного бюлетеня. Оновлення усуває 12 критичних вразливостей у компоненті браузера Chrome, десятки вразливостей високого рівня серйозності, а також небезпечні дефекти на рівні ядра в драйверах Mali та компоненті arc-keymaster, здатні призвести до пошкодження пам’яті ядра та виходу за межі гостьового середовища. Користувачам ChromeOS і ChromeOS Flex рекомендується негайно встановити оновлення.

Критичні вразливості браузера

Оновлення закриває 12 вразливостей, яким Google присвоїла рівень Critical. Переважна більшість із них належить до класу use after free (використання звільненої пам’яті) — одного з найнебезпечніших типів дефектів, що дає змогу зловмиснику перехопити керування потоком виконання програми. Критичні вразливості зачіпають широкий спектр компонентів браузера:

• CVE-2026-106347 — use after free у Track
• CVE-2026-106358 — use after free у Navigation
• CVE-2026-110151 — use after free у Media
• CVE-2026-110148 — use after free у SVG
• CVE-2026-110161 — use after free у Network
• CVE-2026-110136 — use after free у PDF
• CVE-2026-110149 — use after free у Browser
• CVE-2026-110922 — use after free у Prerender
• CVE-2026-113271 — use after free в Accessibility
• CVE-2026-113303 — пошкодження пам’яті в WebRTC
• CVE-2026-113280 — пошкодження пам’яті в Paint
• CVE-2026-113072 — пошкодження пам’яті в CSS

За даними NVD, для CVE-2026-110151 і CVE-2026-110148 віддалений зловмисник може виконати довільний код усередині пісочниці через спеціально сформовану HTML-сторінку. Оцінка CISA-ADP за CVSS 3.1 для обох вразливостей становить 8.8 (High) з вектором AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Варто зауважити, що Google класифікує ці вразливості як Critical за власною шкалою серйозності Chromium, тоді як CISA-ADP присвоює кваліфікаційний рейтинг High — це різні системи оцінювання, і їх не слід змішувати.

Окрім критичних, оновлення включає понад 50 вразливостей рівня High, серед яких — use after free у V8, WebRTC, Media, PDF, DOM, Passwords, Canvas, а також type confusion у V8 (CVE-2026-106240, CVE-2026-110140), пошкодження пам’яті в V8, SVG, Core, Dawn, ServiceWorker, а також помилки авторизації в FileSystem і Updater.

Вразливості на рівні ядра та сторонніх компонентів

Особливої уваги заслуговують виправлення, що виходять за межі браузерного коду та зачіпають системні компоненти ChromeOS:

• arc-keymaster — помилка невизначеної поведінки (fall-off-end UB) у функції CrosKeyFactory::GetOperationFactory дозволяє виконати довільний непрямий виклик із гостьового середовища до хостового (guest-to-host). Рівень серйозності — High.
• mali_kbase — подвійне звільнення (double-free) структури dma_buf_attachment на шляху обробки помилок kbase_mem_from_umm призводить до пошкодження пам’яті ядра. Рівень — High.
• Mali (mt8196) — use after free під час міграції сторінок у kbase_vmap_phy_pages дозволяє непривілейованому користувачеві пошкодити пам’ять ядра на пристроях із чипом mt8196. Рівень — High.
• Сторонні CA-сертифікати — компрометація сторонніх сертифікатів центрів сертифікації призводить до компрометації TLS для всіх клієнтів. Рівень — Medium.

Вразливості в драйверах Mali та arc-keymaster становлять особливу небезпеку: вони дозволяють зловмиснику, який отримав початковий доступ через браузерний експлойт, потенційно вийти за межі пісочниці та отримати контроль на рівні ядра або хостової системи. Це перетворює ланцюжок експлуатації з обмеженого виконання коду в пісочниці на повну компрометацію пристрою.

Оцінка впливу

Масштаб оновлення — один із найбільших для ChromeOS у 2026 році. Дванадцять критичних вразливостей в одному релізі — нетипова ситуація. Раніше ми аналізували оновлення Chrome 153 із п’ятьма критичними вразливостями, яке вже вважалося значним.

Найбільшому ризику піддаються організації, що використовують ChromeOS в освітніх установах і корпоративних середовищах, де пристрої Chromebook розгорнуті масово й можуть оновлюватися із затримкою. Пристрої на базі чипа mt8196 додатково уразливі через дефект драйвера Mali. Наявні дані не містять інформації про активну експлуатацію перелічених вразливостей, однак відсутність таких відомостей не означає, що експлуатація не відбувається.

Рекомендації

1. Негайно оновіть ChromeOS до версії 16836.19.0 (браузер 156.0.8078.42) через стабільний канал. Для керованих парків пристроїв — ініціюйте примусове оновлення через консоль адміністрування Google.
2. Перевірте поточну версію на кожному пристрої: Налаштування → Про ChromeOS. Переконайтеся, що версія браузера не нижча за 156.0.8078.42.
3. Для пристроїв на mt8196 — пріоритизуйте оновлення через вразливість драйвера Mali, що дозволяє непривілейоване пошкодження пам’яті ядра.
4. Ознайомтеся з бюлетенем безпеки Android за жовтень 2026 року — оновлення ChromeOS включає й ці виправлення.

Ураховуючи 12 критичних вразливостей браузера з можливістю віддаленого виконання коду через шкідливі HTML-сторінки та три дефекти рівня ядра, здатні призвести до повної компрометації пристрою, відкладати застосування цього оновлення не можна. Адміністраторам керованих парків ChromeOS слід запустити примусове оновлення до версії 16836.19.0 в найближчі години, а не дні.