Google выпустила обновление стабильного канала Chrome до версий 157.0.8103.50/.51 для Windows и macOS и 157.0.8103.50 для Linux, устранив девять уязвимостей безопасности. Одна из них — CVE-2026-125350, ошибка типа use-after-free в компоненте XML — уже эксплуатируется злоумышленниками. Google подтверждает: «эксплойт для CVE-2026-125350 существует в дикой природе». Уязвимость внесена в каталог CISA KEV 10 ноября 2026 года с крайним сроком устранения 24 ноября 2026 года. Всем пользователям Chrome и браузеров на базе Chromium необходимо обновиться немедленно.
Активно эксплуатируемая уязвимость: CVE-2026-125350
Use-after-free (использование после освобождения) — класс ошибок управления памятью, при которых программа обращается к области памяти после её освобождения. Успешная эксплуатация таких уязвимостей может привести к повреждению данных, аварийному завершению процесса или выполнению произвольного кода. CVE-2026-125350 затрагивает компонент обработки XML в Chrome и получила рейтинг High по классификации Google. Уязвимость была сообщена анонимным исследователем 6 ноября 2026 года, а патч вышел 9 ноября — всего через три дня.
Google не раскрывает деталей эксплуатации: неизвестны ни механизм атаки, ни целевые жертвы, ни стоящие за атаками группировки. Оценка CVSS на момент публикации также не установлена. Доступ к деталям баг-репорта ограничен до тех пор, пока большинство пользователей не получит обновление.
Связь двух XML-уязвимостей через общий код
Примечательная техническая деталь: в этом обновлении исправлены две уязвимости use-after-free в XML — CVE-2026-125350 и CVE-2026-125346 (обнаружена Arni Hardarson из Neonix Security 12 октября 2026 года). Согласно журналу коммитов ветки Chrome 157, обе проблемы устранены одним патчем, исправляющим use-after-free в кэше прямого сопоставления шаблонов библиотеки libxslt. Это означает, что обе CVE связаны с одним и тем же уязвимым путём выполнения кода, что даёт командам безопасности единую точку валидации при проверке применения обновления.
Полный список устранённых уязвимостей
Помимо активно эксплуатируемой CVE-2026-125350, обновление закрывает ещё восемь уязвимостей — семь с рейтингом High и две со средним уровнем серьёзности:
- CVE-2026-125345 (High) — неинициализированный ресурс в WebGL
- CVE-2026-125347 (High) — некорректная авторизация в FileSystem
- CVE-2026-125343 (High) — переполнение буфера в Compositing
- CVE-2026-125348 (High) — запись за пределами буфера в GPU
- CVE-2026-125344 (High) — путаница типов (type confusion) в V8
- CVE-2026-125346 (High) — use-after-free в XML (описана выше)
- CVE-2026-125349 (Medium) — неинициализированный ресурс в GPU
- CVE-2026-125342 (Medium) — неинициализированный ресурс в GPU
Большинство уязвимостей обнаружены внутренними командами Google в период с июля по октябрь 2026 года. Внешние исследователи — Arni Hardarson (Neonix Security), Vo Duc Thang и анонимный репортёр — сообщили о трёх из девяти проблем.
Оценка воздействия
Под угрозой находятся все пользователи десктопных версий Google Chrome на Windows, macOS и Linux, а также пользователи браузеров на базе Chromium — Microsoft Edge, Brave, Opera, Vivaldi. Набор уязвимостей охватывает критически важные компоненты: графический движок (WebGL, GPU, Compositing), JavaScript-движок V8, файловую систему и обработку XML. Уязвимости типа type confusion в V8 и запись за пределами буфера в GPU исторически являются одними из наиболее опасных для браузерных атак, поскольку могут приводить к выполнению произвольного кода в контексте процесса рендеринга.
Ранее мы писали о создании рабочих эксплойтов для Chrome — этот случай подтверждает, что уязвимости браузера остаются приоритетной целью для атакующих.
Рекомендации
CVE-2026-125350 должна возглавить план устранения уязвимостей: это единственная из девяти, для которой Google подтверждает эксплуатацию в дикой природе. Остальные восемь уязвимостей следует рассматривать как приоритетные, но вторичные.
- Обновите Chrome до версии 157.0.8103.50 (Linux) или 157.0.8103.50/.51 (Windows, macOS). Для этого откройте Меню → Справка → О Google Chrome и перезапустите браузер.
- Проверьте развёрнутые версии в корпоративной среде. Google указывает, что обновление «будет распространяться в течение ближайших дней или недель», поэтому автоматическое обновление не гарантирует мгновенного покрытия всего парка устройств.
- Обновите браузеры на базе Chromium — Edge, Brave, Opera, Vivaldi — как только соответствующие вендоры выпустят патчи.
- Для организаций, подпадающих под требования CISA: крайний срок устранения CVE-2026-125350 — 24 ноября 2026 года.
Отсутствие публичных деталей об эксплойте не снижает срочности: Google намеренно ограничивает информацию до массового обновления пользователей. Единственная надёжная мера защиты — установка патча. Учитывая, что обновление устраняет сразу две связанные уязвимости в libxslt через один коммит, проверка версии браузера одновременно подтверждает закрытие обеих проблем в XML-обработке.
