Google випустила екстрене оновлення Chrome через восьму zero-day цього року

Google випустила екстрені оновлення Chrome для усунення вразливості CVE-2026-125350, яку зловмисники вже використовували в атаках. Це восьма активно експлуатована zero-day вразливість браузера, виправлена компанією від початку року, повідомляє BleepingComputer.

Помилка в обробці XML

У Google заявили, що їм відомо про існування експлойту для CVE-2026-125350. Проблема пов’язана з помилкою use-after-free у XML-компоненті Chrome. Вона виникає, коли XML-парсер обробляє дані, видаляє об’єкт із пам’яті, але не очищує посилання на нього.

Цю вразливість із високим рівнем небезпеки можуть використати для маніпуляцій із розподілом пам’яті та виконання шкідливого коду, коли браузер знову намагається звернутися до вже звільненої ділянки пам’яті. Google не розкрила подробиць атак, у яких застосовували цю помилку.

Оновлення для трьох платформ

Виправлення вже поширюють у стабільному каналі Chrome для Windows, macOS і Linux. Для macOS доступні версії 157.0.8103.50 та 157.0.8103.51, для Linux — 157.0.8103.50. У Google попередили, що оновлення може надходити користувачам протягом кількох днів або тижнів.

Компанія також зазначила, що обмежуватиме доступ до технічних деталей та посилань, доки більшість користувачів не отримає виправлення. Такі обмеження можуть зберігатися, якщо вразливість міститься у сторонній бібліотеці, яку використовують інші проєкти й для якої ще не випустили патч.

Від початку 2026 року Google вже усувала сім інших zero-day у Chrome, що використовувалися в атаках. Серед них були помилки у CSSFontFeatureValuesMap, графічній бібліотеці Skia, рушії V8 та реалізації WebGPU Dawn.