20 жовтня 2026 року Google випустила Chrome 156 для Windows, Mac і Linux, усунувши 353 вразливості безпеки, шість із яких отримали критичний рівень серйозності. Оновлення стосується всіх настільних платформ: збірки 156.0.8078.47 для Linux і 156.0.8078.47/.48 для Windows і Mac. Масштаб патча — один із найбільших в історії Chrome: для порівняння, у Chrome 153 було закрито 230 вразливостей. Усім користувачам Chrome на настільних платформах рекомендується оновитися негайно.
Шість критичних вразливостей
Згідно з офіційним бюлетенем безпеки Google, шість CVE отримали критичну оцінку серйозності. Усі вони належать до класів пошкодження пам’яті (memory corruption) або використання звільненої пам’яті (use-after-free) — типів вразливостей, які потенційно дозволяють виконати довільний код:
- CVE-2026-113341 — пошкодження пам’яті в Skia (графічна бібліотека), виявлена Google
- CVE-2026-113279 — пошкодження пам’яті в Accessibility, виявлена Xinyang Ge
- CVE-2026-113072 — пошкодження пам’яті в CSS, виявлена Xinyang Ge
- CVE-2026-113280 — пошкодження пам’яті в Paint, виявлена Xinyang Ge
- CVE-2026-113271 — use-after-free в Accessibility, виявлена Xinyang Ge (Anthropic) за сприяння Claude
- CVE-2026-113303 — пошкодження пам’яті в WebRTC, виявлена OpenAI Codex Security (kylebot)
Google не оприлюднила оцінки CVSS для цих вразливостей. Подробиці багів і посилання на них можуть залишатися закритими доти, доки більшість користувачів не отримає оновлення.
ІІ-системи як дослідники вразливостей
Показова особливість цього релізу — присутність ІІ-систем у списку дослідників. Згідно з бюлетенем Google, критична CVE-2026-113271 виявлена за сприяння Claude (Anthropic), а критична CVE-2026-113303 приписана команді OpenAI Codex Security. Окрім критичних, ІІ-системи фігурують і у вразливостях високого рівня: use-after-free у V8 (CVE-2026-113044) також виявлена OpenAI Codex Security, а ще кілька вразливостей високого рівня — Xinyang Ge з Anthropic за сприяння Claude. Ці атрибуції підтверджені лише бюлетенем Google; незалежного публічного підтвердження станом на момент публікації не знайдено.
Масштаб і структура виправлень
Окрім шести критичних, бюлетень перелічує десятки вразливостей високого рівня серйозності. Серед найбільш уражених компонентів:
- ANGLE (графічний рівень абстракції) — множинні пошкодження пам’яті, use-after-free та помилки валідації введення
- V8 (рушій JavaScript) — пошкодження пам’яті та use-after-free
- WebRTC, WebGL, Canvas — компоненти мультимедіа та рендерингу
- Navigation, SiteIsolation — механізми ізоляції та навігації
- Extensions — множинні проблеми в підсистемі розширень
Значну частину вразливостей виявлено внутрішніми командами Google. Серед зовнішніх дослідників — Xinyang Ge (як самостійно, так і від Anthropic), Arni Hardarson з Neonix Security, Quyen Son із VinFast (який отримав максимальну зазначену винагороду в $10 000 за CVE-2026-113101 — use-after-free в SiteIsolation), а також низка незалежних дослідників.
Окремо варто зазначити, що одна з вразливостей середнього рівня (CVE-2026-113079, use-after-free в SiteIsolation) була спочатку зареєстрована ще в березні 2021 року, тобто залишалася відкритою понад п’ять років.
Статус експлуатації
Станом на момент публікації жодна з перелічених вразливостей не внесена до каталогу CISA KEV. Бюлетень Google не містить вказівок на підтверджену активну експлуатацію. Водночас критичний рівень серйозності та характер вразливостей — пошкодження пам’яті й use-after-free в ключових компонентах рендерингу та мультимедіа — роблять їх привабливими цілями для розробки експлойтів.
Рекомендації
- Оновіть Chrome до версії 156.0.8078.47 (Linux) або 156.0.8078.47/.48 (Windows/Mac) через меню «Довідка → Про браузер Google Chrome»
- Перезапустіть браузер після оновлення — патчі набувають чинності лише після перезапуску
- Перевірте браузери на основі Chromium (Microsoft Edge, Brave, Opera, Vivaldi) — вони використовують спільні компоненти і, ймовірно, отримають аналогічні оновлення найближчим часом
- Корпоративним адміністраторам: з огляду на шість критичних вразливостей у компонентах рендерингу, надайте пріоритет розгортанню оновлення, не чекаючи стандартного циклу
Chrome 156 — масштабне оновлення безпеки з рекордною кількістю виправлень та шістьма критичними вразливостями в ключових компонентах браузера. Враховуючи, що Google обмежує доступ до подробиць вразливостей до масового оновлення користувачів, вікно для безпечного застосування патча обмежене. Оновіть Chrome на всіх керованих пристроях до версії 156.0.8078.47 або вище та переконайтеся, що автоматичне оновлення активне для некерованих робочих станцій.
