Google випустила оновлення стабільного каналу Chrome до версій 157.0.8103.50/.51 для Windows і macOS та 157.0.8103.50 для Linux, усунувши дев’ять вразливостей безпеки. Одна з них — CVE-2026-125350, помилка типу use-after-free в компоненті XML — уже експлуатується зловмисниками. Google підтверджує: «експлойт для CVE-2026-125350 використовується в реальних атаках». Вразливість внесено до каталогу CISA KEV 10 листопада 2026 року з кінцевим терміном усунення 24 листопада 2026 року. Усім користувачам Chrome і браузерів на базі Chromium необхідно оновитися негайно.
Активно експлуатована вразливість: CVE-2026-125350
Use-after-free (використання після звільнення) — клас помилок керування пам’яттю, за яких програма звертається до області пам’яті після її звільнення. Успішна експлуатація таких вразливостей може призвести до пошкодження даних, аварійного завершення процесу або виконання довільного коду. CVE-2026-125350 зачіпає компонент обробки XML у Chrome та отримала рейтинг High за класифікацією Google. Вразливість була повідомлена анонімним дослідником 6 листопада 2026 року, а патч вийшов 9 листопада — всього через три дні.
Google не розкриває деталей експлуатації: невідомі ані механізм атаки, ані цільові жертви, ані угруповання, що стоять за атаками. Оцінку CVSS на момент публікації також ще не встановлено. Доступ до деталей звіту про баґ обмежено доти, доки більшість користувачів не отримає оновлення.
Зв’язок двох XML-вразливостей через спільний код
Показова технічна деталь: у цьому оновленні виправлено дві вразливості use-after-free в XML — CVE-2026-125350 та CVE-2026-125346 (виявлена Arni Hardarson з Neonix Security 12 жовтня 2026 року). Згідно з журналом комітів гілки Chrome 157, обидві проблеми усунено одним патчем, що виправляє use-after-free в кеші прямого зіставлення шаблонів бібліотеки libxslt. Це означає, що обидві CVE пов’язані з одним і тим самим вразливим шляхом виконання коду, що дає командам безпеки єдину точку валідації під час перевірки застосування оновлення.
Повний список усунутих вразливостей
Окрім активно експлуатованої CVE-2026-125350, оновлення закриває ще вісім вразливостей — сім з рейтингом High і дві із середнім рівнем серйозності:
- CVE-2026-125345 (High) — неініціалізований ресурс у WebGL
- CVE-2026-125347 (High) — некоректна авторизація у FileSystem
- CVE-2026-125343 (High) — переповнення буфера в Compositing
- CVE-2026-125348 (High) — запис за межі буфера в GPU
- CVE-2026-125344 (High) — плутанина типів (type confusion) у V8
- CVE-2026-125346 (High) — use-after-free в XML (описана вище)
- CVE-2026-125349 (Medium) — неініціалізований ресурс у GPU
- CVE-2026-125342 (Medium) — неініціалізований ресурс у GPU
Більшість вразливостей виявлені внутрішніми командами Google у період з липня по жовтень 2026 року. Зовнішні дослідники — Arni Hardarson (Neonix Security), Vo Duc Thang та анонімний репортер — повідомили про три з дев’яти проблем.
Оцінка впливу
Під загрозою перебувають усі користувачі настільних версій Google Chrome на Windows, macOS і Linux, а також користувачі браузерів на базі Chromium — Microsoft Edge, Brave, Opera, Vivaldi. Набір вразливостей охоплює критично важливі компоненти: графічний рушій (WebGL, GPU, Compositing), JavaScript-рушій V8, файлову систему та обробку XML. Вразливості типу type confusion у V8 і запис за межі буфера в GPU історично є одними з найнебезпечніших для браузерних атак, оскільки можуть призводити до виконання довільного коду в контексті процесу рендерингу.
Раніше ми писали про створення робочих експлойтів для Chrome — цей випадок підтверджує, що вразливості браузера залишаються пріоритетною ціллю для зловмисників.
Рекомендації
CVE-2026-125350 має очолити план усунення вразливостей: це єдина з дев’яти, для якої Google підтверджує експлуатацію в реальних атаках. Решту восьми вразливостей варто розглядати як пріоритетні, але другорядні.
- Оновіть Chrome до версії 157.0.8103.50 (Linux) або 157.0.8103.50/.51 (Windows, macOS). Для цього відкрийте Меню → Довідка → Про Google Chrome і перезапустіть браузер.
- Перевірте розгорнуті версії у корпоративному середовищі. Google зазначає, що оновлення «буде розповсюджуватися впродовж найближчих днів або тижнів», тому автоматичне оновлення не гарантує миттєвого охоплення всього парку пристроїв.
- Оновіть браузери на базі Chromium — Edge, Brave, Opera, Vivaldi — щойно відповідні вендори випустять патчі.
- Для організацій, на які поширюються вимоги CISA: кінцевий термін усунення CVE-2026-125350 — 24 листопада 2026 року.
Відсутність публічних деталей про експлойт не зменшує терміновості: Google навмисно обмежує інформацію до масового оновлення користувачів. Єдиний надійний захід захисту — встановлення патча. З огляду на те, що оновлення усуває одразу дві пов’язані вразливості в libxslt одним комітом, перевірка версії браузера водночас підтверджує закриття обох проблем в XML-обробці.
