20 октября 2026 года Google выпустила Chrome 156 для Windows, Mac и Linux, устранив 353 уязвимости безопасности, шесть из которых получили критический уровень серьёзности. Обновление затрагивает все настольные платформы: сборки 156.0.8078.47 для Linux и 156.0.8078.47/.48 для Windows и Mac. Масштаб патча — один из крупнейших в истории Chrome: для сравнения, в Chrome 153 было закрыто 230 уязвимостей. Всем пользователям Chrome на настольных платформах рекомендуется обновиться немедленно.
Шесть критических уязвимостей
Согласно официальному бюллетеню безопасности Google, шесть CVE получили критическую оценку серьёзности. Все они относятся к классам повреждения памяти (memory corruption) или использования освобождённой памяти (use-after-free) — типам уязвимостей, которые потенциально позволяют выполнить произвольный код:
- CVE-2026-113341 — повреждение памяти в Skia (графическая библиотека), обнаружена Google
- CVE-2026-113279 — повреждение памяти в Accessibility, обнаружена Xinyang Ge
- CVE-2026-113072 — повреждение памяти в CSS, обнаружена Xinyang Ge
- CVE-2026-113280 — повреждение памяти в Paint, обнаружена Xinyang Ge
- CVE-2026-113271 — use-after-free в Accessibility, обнаружена Xinyang Ge (Anthropic) при содействии Claude
- CVE-2026-113303 — повреждение памяти в WebRTC, обнаружена OpenAI Codex Security (kylebot)
Google не опубликовала оценки CVSS для этих уязвимостей. Детали багов и ссылки на них могут оставаться закрытыми до тех пор, пока большинство пользователей не получит обновление.
ИИ-системы как исследователи уязвимостей
Примечательная особенность этого релиза — присутствие ИИ-систем в списке исследователей. Согласно бюллетеню Google, критическая CVE-2026-113271 обнаружена при содействии Claude (Anthropic), а критическая CVE-2026-113303 приписана команде OpenAI Codex Security. Помимо критических, ИИ-системы фигурируют и в уязвимостях высокого уровня: use-after-free в V8 (CVE-2026-113044) также обнаружена OpenAI Codex Security, а ещё несколько уязвимостей высокого уровня — Xinyang Ge из Anthropic при содействии Claude. Эти атрибуции подтверждены только бюллетенем Google; независимого публичного подтверждения на момент публикации не найдено.
Масштаб и структура исправлений
Помимо шести критических, бюллетень перечисляет десятки уязвимостей высокого уровня серьёзности. Среди наиболее затронутых компонентов:
- ANGLE (графический уровень абстракции) — множественные повреждения памяти, use-after-free и ошибки валидации ввода
- V8 (движок JavaScript) — повреждения памяти и use-after-free
- WebRTC, WebGL, Canvas — компоненты мультимедиа и рендеринга
- Navigation, SiteIsolation — механизмы изоляции и навигации
- Extensions — множественные проблемы в подсистеме расширений
Значительная часть уязвимостей обнаружена внутренними командами Google. Среди внешних исследователей — Xinyang Ge (как самостоятельно, так и от Anthropic), Arni Hardarson из Neonix Security, Quyen Son из VinFast (получивший максимальную указанную награду в $10 000 за CVE-2026-113101 — use-after-free в SiteIsolation), а также ряд независимых исследователей.
Отдельно стоит отметить, что одна из уязвимостей среднего уровня (CVE-2026-113079, use-after-free в SiteIsolation) была изначально зарегистрирована ещё в марте 2021 года, то есть оставалась открытой более пяти лет.
Статус эксплуатации
На момент публикации ни одна из перечисленных уязвимостей не внесена в каталог CISA KEV. Бюллетень Google не содержит указаний на подтверждённую активную эксплуатацию. Тем не менее критический уровень серьёзности и характер уязвимостей — повреждение памяти и use-after-free в ключевых компонентах рендеринга и мультимедиа — делают их привлекательными целями для разработки эксплойтов.
Рекомендации
- Обновите Chrome до версии 156.0.8078.47 (Linux) или 156.0.8078.47/.48 (Windows/Mac) через меню «Справка → О браузере Google Chrome»
- Перезапустите браузер после обновления — патчи вступают в силу только после перезапуска
- Проверьте браузеры на основе Chromium (Microsoft Edge, Brave, Opera, Vivaldi) — они используют общие компоненты и, вероятно, получат аналогичные обновления в ближайшее время
- Корпоративным администраторам: учитывая шесть критических уязвимостей в компонентах рендеринга, приоритизируйте развёртывание обновления, не дожидаясь стандартного цикла
Chrome 156 — масштабное обновление безопасности с рекордным количеством исправлений и шестью критическими уязвимостями в ключевых компонентах браузера. Учитывая, что Google ограничивает доступ к деталям уязвимостей до массового обновления пользователей, окно для безопасного применения патча ограничено. Обновите Chrome на всех управляемых устройствах до версии 156.0.8078.47 или выше и убедитесь, что автоматическое обновление активно для неуправляемых рабочих станций.
