BlockBeats News, 10 ноября: Google выпустила срочное обновление стабильного канала для браузера Chrome на настольных устройствах 9 ноября 2026 года, устранив 9 уязвимостей, включая нольдевой уязвимость, уже используемую в дикой природе. Это обновление повысило версии Chrome на платформах Windows и Mac до 157.0.8103.50/.51, а на платформе Linux — до 157.0.8103.50, и будет постепенно развернуто в течение нескольких дней до нескольких недель.
Основное внимание этого обновления сосредоточено на критической уязвимости с идентификатором CVE-2026-125350, относящейся к типу use-after-free в XML-компоненте. Google в своем объявлении прямо указал, что «известно о существовании эксплуатации CVE-2026-125350 в дикой природе», однако не раскрыл конкретные методы атаки, масштаб поражения или принадлежность атакующих. Уязвимость была сообщена анонимным исследователем 6 ноября 2026 года, всего за три дня до выпуска исправления Google.
Из всех 9 исправлений 7 имеют уровень «высокий риск», а 2 — «средний риск». Помимо CVE-2026-125350, другая уязвимость высокого уровня — CVE-2026-125346 — также связана с использованием после освобождения в компоненте XML и была сообщена Arni Hardarson из Neonix Security 12 октября 2026 года, однако Google отметил как эксплуатируемую в дикой природе только CVE-2026-125350. Остальные уязвимости высокого уровня включают неинициализированные ресурсы WebGL, неправильную авторизацию FileSystem, переполнение буфера композитора, выход за пределы записи в GPU и типовую путаницу в V8, большинство из которых были обнаружены внутренней командой безопасности Google.
Google также подтвердил, что версия Chrome для Android (157.0.8103.50), выпущенная в тот же день, содержит те же исправления безопасности, что и настольная версия, без каких-либо исключений. Пользователи, использующие расширенный стабильный канал (Extended Stable), должны установить обновление, опубликованное отдельно 9 ноября: версии для Windows и Mac — 156.0.8078.96, в котором CVE-2026-125350 также указан как критическое исправление.
Тот же день Центр координации инцидентов кибербезопасности правительства Гонконга (GovCERT.HK) выпустил предупреждение о безопасности, определив затронутые системы как версии Chrome до 157.0.8103.50, и указал, что успешное использование соответствующих уязвимостей может привести к выполнению удаленного кода, отказу в обслуживании, подмене или обходу ограничений безопасности. Центр координации инцидентов кибербезопасности Гонконга (HKCERT) оценил уровень риска этого обновления как «очень высокий».
В объявлении Google указано, что доступ к деталям уязвимости и ссылкам может оставаться ограниченным до тех пор, пока большинство пользователей не завершат обновление. Компания рекомендует пользователям вручную проверить и запустить обновление через «Настройки → О Chrome». После завершения обновления необходимо перезапустить браузер, чтобы применить исправление. Для пользователей, которые все еще используют версии Chrome ранее 157.0.8103.50, текущим приоритетом является подтверждение номера версии и немедленная перезагрузка для завершения обновления.