Google в понедельник выпустила обновления Chrome, закрывающие девять уязвимостей. Одна из них, CVE-2026-125350, уже эксплуатируется в реальных атаках. Компания назвала её восьмым активно используемым нулевым днём Chrome, устранённым с начала 2026 года.
Уязвимость высокой степени серьёзности получила оценку 8,8 по шкале CVSS. Она находится в компоненте XML и связана с ошибкой типа use-after-free: программа обращается к области памяти после её освобождения. Такие сбои могут привести к повреждению данных, аварийному завершению программы или выполнению произвольного кода.
Согласно описанию на , удалённый злоумышленник может подготовить специальную HTML-страницу и добиться выполнения кода внутри песочницы Chrome. Ошибка затрагивает версии браузера ниже 157.0.8103.50.
О дефекте сообщил анонимный исследователь безопасности: он обнаружил и передал сведения Google 6 ноября 2026 года. Компания подтвердила, что «эксплойт для CVE-2026-125350 существует в открытом доступе». Кто проводит атаки и как именно используется уязвимость, Google не раскрыла.
Подробности о проблеме и ссылки на неё могут оставаться закрытыми, пока большинство пользователей не установит исправление. Ограничения могут сохраниться и в том случае, если ошибка затрагивает стороннюю библиотеку, от которой зависят другие проекты, ещё не выпустившие патч.
В число восьми активно эксплуатируемых нулевых дней Chrome за 2026 год входят CVE-2026-125350 и семь ранее устранённых уязвимостей: CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 и CVE-2026-87491.
Google рекомендует обновить Chrome в Windows и Apple macOS до версии 157.0.8103.50 или 157.0.8103.51, а в Linux — до 157.0.8103.50. Проверить обновление можно через меню «Ещё» → «Справка» → «О браузере Google Chrome», затем нажать «Перезапустить».
Пользователям Microsoft Edge, Brave, Opera и Vivaldi также следует установить исправления, как только они появятся для этих браузеров на базе Chromium. Агентство США по кибербезопасности и защите инфраструктуры (CISA) уже внесло CVE-2026-125350 в каталог известных эксплуатируемых уязвимостей KEV. Федеральным ведомствам предписано установить патч не позднее 24 ноября 2026 года.
Изображение носит иллюстративный характер
Уязвимость высокой степени серьёзности получила оценку 8,8 по шкале CVSS. Она находится в компоненте XML и связана с ошибкой типа use-after-free: программа обращается к области памяти после её освобождения. Такие сбои могут привести к повреждению данных, аварийному завершению программы или выполнению произвольного кода.
Согласно описанию на , удалённый злоумышленник может подготовить специальную HTML-страницу и добиться выполнения кода внутри песочницы Chrome. Ошибка затрагивает версии браузера ниже 157.0.8103.50.
О дефекте сообщил анонимный исследователь безопасности: он обнаружил и передал сведения Google 6 ноября 2026 года. Компания подтвердила, что «эксплойт для CVE-2026-125350 существует в открытом доступе». Кто проводит атаки и как именно используется уязвимость, Google не раскрыла.
Подробности о проблеме и ссылки на неё могут оставаться закрытыми, пока большинство пользователей не установит исправление. Ограничения могут сохраниться и в том случае, если ошибка затрагивает стороннюю библиотеку, от которой зависят другие проекты, ещё не выпустившие патч.
В число восьми активно эксплуатируемых нулевых дней Chrome за 2026 год входят CVE-2026-125350 и семь ранее устранённых уязвимостей: CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 и CVE-2026-87491.
Google рекомендует обновить Chrome в Windows и Apple macOS до версии 157.0.8103.50 или 157.0.8103.51, а в Linux — до 157.0.8103.50. Проверить обновление можно через меню «Ещё» → «Справка» → «О браузере Google Chrome», затем нажать «Перезапустить».
Пользователям Microsoft Edge, Brave, Opera и Vivaldi также следует установить исправления, как только они появятся для этих браузеров на базе Chromium. Агентство США по кибербезопасности и защите инфраструктуры (CISA) уже внесло CVE-2026-125350 в каталог известных эксплуатируемых уязвимостей KEV. Федеральным ведомствам предписано установить патч не позднее 24 ноября 2026 года.
