Google закрыла в Chrome восьмую за год уязвимость, которую уже использовали в атаках

9 ноября Google начала распространять обновление Chrome с исправлением CVE-2026-125350. Ошибка находилась в обработчике XML. Google подтвердила, что для неё уже существовал эксплойт, который использовали в реальных атаках. По подсчёту BleepingComputer, это восьмая такая уязвимость Chrome с начала 2026 года.

Chrome мог обратиться к памяти, которую уже освободил

Когда браузер разбирает документ, он создаёт в памяти объекты для данных, с которыми работает. После обработки часть объектов удаляется, а освободившееся место программа может использовать повторно. Если код по ошибке обращается к удалённому объекту через старую ссылку, он может прочитать или изменить данные, которые теперь лежат на его месте.

Такой класс ошибок называется use-after-free. В бюллетене Google указала на компонент XML и присвоила уязвимости высокий уровень серьёзности. Если атакующий может влиять на содержимое повторно используемой памяти, ошибка может помочь ему выполнить свой код. Google пока не раскрыла, как именно запускался этот эксплойт и кого атаковали.

Об уязвимости анонимно сообщили 6 ноября. Через три дня Google выпустила патч. В обновлении девять исправлений безопасности, включая ещё одну ошибку того же класса в XML, CVE-2026-125346. Сообщение Google об атаках относится к CVE-2026-125350.

Исправление получили две ветки Chrome и версия для Android

Google распространяет обновление поэтапно. Поэтому на двух компьютерах с Chrome 157 в один и тот же день могут стоять разные сборки. Чтобы понять, есть ли исправление, нужно смотреть на полный номер версии. В бюллетенях от 9 ноября указаны следующие сборки:

• Windows и macOS, обычный Stable — 157.0.8103.50 и 157.0.8103.51.
• Linux, Stable — 157.0.8103.50.
• Windows и macOS, корпоративный Extended Stable — 156.0.8078.96.
• Android — 157.0.8103.50. Google сообщила, что эта сборка включает те же исправления безопасности, что и соответствующее настольное обновление.

На компьютере проверку можно запустить через «Справка» → «О браузере Google Chrome». Если обновление уже скачалось, но браузер предлагает перезапуск, новая сборка начнёт работать после него.

В сентябре Chrome перешёл на новые версии раз в две недели

До ноябрьского патча Google уже закрывала эксплуатируемые ошибки в разных частях браузера. В марте в одном обновлении исправили две уязвимости в графической библиотеке Skia и движке V8. В сентябре Google сообщила об эксплойте для CVE-2026-85046, тоже в V8. В ноябре уязвимым оказался уже обработчик XML.

8 сентября, с выходом Chrome 153, Google сократила интервал между основными релизами с четырёх до двух недель. В корпоративной ветке Extended Stable основные версии по-прежнему выходят раз в восемь недель, а исправления безопасности переносят туда отдельно. Поэтому ноябрьский патч появился одновременно в обычной ветке 157 и в корпоративной ветке 156.