Разбор уязвимости Google Chrome, которую можно задействовать, открыв подготовленную веб-страницу. Что происходит, какие версии затронуты и какие исправлены, что делать частным пользователям и администраторам — со стороны защиты и без шагов атаки.
- CVE
- CVE-2026-125350 (проблема Chromium 582442907)
- Тяжесть
- Критичность по Chromium — High. CVSS v3.1 8.8 (AV:N/AC:L/PR:N/UI:R; присвоена ADP CISA)
- Тип
- Use-after-free в XML (CWE-416). Выполнение произвольного кода внутри песочницы
- Затронуто
- Google Chrome до 157.0.8103.50 (запись CVE). KEV указывает, что могут быть затронуты браузеры на основе Chromium, такие как Edge и Opera
- Исправление
- Chrome Stable 157.0.8103.50 (Windows и Mac 157.0.8103.50/.51, Linux 157.0.8103.50)
- Даты
- Публикация в Chrome Releases: 9 ноября 2026 года. Запись CVE опубликована 10 ноября
- Эксплуатация
- Google сообщает, что ей известно об эксплойте в реальных атаках. Внесена в CISA KEV 10 ноября (срок — 24 ноября)
Чем опасно ожидание
Такая уязвимость может дать атакующему плацдарм уже от простого просмотра страницы. Выполнение кода внутри песочницы — это ещё не полный захват устройства, но в атаках на браузеры его обычно используют как первый этап, который связывают с другими уязвимостями. Было ли так с этой CVE, по открытой информации подтвердить нельзя.
В чём заключается уязвимость
Запись CVE описывает use-after-free (использование памяти после её освобождения) в компоненте XML в Chrome до 157.0.8103.50. Удалённый атакующий мог выполнить произвольный код внутри песочницы через подготовленную HTML-страницу. В примечаниях Google к выпуску критичность — High, автор сообщения анонимен, дата сообщения — 6 ноября 2026 года.
- Пользователь должен открыть подготовленную страницу (UI:R в векторе CVSS).
- Ни Google, ни этот сайт не публикуют шаги атаки или код.
- Google отмечает, что подробности ошибки могут оставаться закрытыми, пока большинство пользователей не обновится.
Тем же обновлением исправлен и другой use-after-free в XML (CVE-2026-125346), но об эксплойте в реальных атаках Google упомянула только для CVE-2026-125350. Всего в обновление вошло 9 исправлений безопасности.
Кого это касается
| Параметр | Описание |
|---|---|
| Продукт | Google Chrome (для компьютеров) |
| Затронутые версии | До 157.0.8103.50 (запись CVE) |
| Исправление (Stable) | Windows и Mac: 157.0.8103.50/.51. Linux: 157.0.8103.50 |
| Другие браузеры на основе Chromium | KEV указывает, что могут быть затронуты Edge, Opera и другие. Каждый поставщик выпускает своё исправление |
| Microsoft Edge | На момент проверки в примечаниях Microsoft к выпускам безопасности не было версии с этой CVE, поэтому номер версии подтвердить не удалось. В объявлении от 9 ноября сказано, что Microsoft известно об эксплуатации в реальных атаках и она готовит исправление (номер CVE не назван) |
| Обходной путь | Не указан. Средство — обновление |
- Google сообщает, что развёртывание занимает от нескольких дней до нескольких недель. Ждать, пока оно дойдёт до вас, не нужно — можно проверить вручную.
- Публикация о Stable для компьютеров не охватывает Android и iOS. Если вы пользуетесь ими, проверьте обновления в магазине приложений.
Как проверить, затронуты ли вы
Проверьте версию Chrome
Откройте chrome://settings/help (меню, Справка, О браузере Google Chrome). Версия ниже 157.0.8103.50 означает, что вы затронуты. Открытие этой страницы также запускает проверку и загрузку обновления.
Проверьте, не ожидает ли перезапуск
После загрузки обновления появляется кнопка «Перезапустить». Пока вы не перезапустите браузер, исправление не действует. Особое внимание — компьютерам, которые днями работают с множеством открытых вкладок.
Проверьте другие браузеры
Если вы используете Edge, Opera или другой браузер на основе Chromium, проверьте обновление на его странице «О программе». Исправленные версии каждого поставщика выходят отдельно, и на момент написания ни одну подтвердить не удалось (чек-лист инвентаризации активов).
Что сделать сегодня
Обновите Chrome и перезапустите (главный приоритет)
Откройте «О браузере Chrome», чтобы получить обновление, и нажмите «Перезапустить». Сначала сохраните работу в открытых вкладках и формах. После перезапуска проверьте версию ещё раз: она должна быть 157.0.8103.50 или новее.
Обновите Edge, Opera и другие браузеры на основе Chromium
Проверьте обновления каждого браузера и установите последние. Пока исправления нет, собственный совет этого сайта — избегать недоверенных сайтов и удалить ненужные расширения, чтобы уменьшить риск. Это не заменяет обновление.
(Администраторам) Составьте список версий в парке устройств
По консоли администратора или инструменту учёта активов найдите устройства с Chrome ниже 157.0.8103.50. Удалённые сотрудники и машины, которые редко перезагружают, чаще всего остаются позади.
(Администраторам) Принудительно запустите обновление и перезапуск
Проверьте политики, блокирующие обновления или закрепляющие версию, и снимите их. В Chrome есть политики уведомления о перезапуске (например, RelaunchNotification), для которых можно задать крайний срок. Срок KEV — 24 ноября. Порядок действий описан в Плейбуке устранения уязвимостей.
После этого поищите необычное поведение
За период до обновления проверьте незнакомые расширения, изменённую домашнюю страницу или поисковую систему и необычные обращения к сохранённым паролям. Если что-то найдено, рассмотрите смену паролей и изоляцию устройства.
Состояние эксплуатации
- В примечаниях Google к выпуску сказано, что ей известно о существовании эксплойта для CVE-2026-125350 в реальных атаках.
- CISA внесла её в KEV 10 ноября 2026 года со сроком 24 ноября (версия KEV 2026.11.10). Использование в атаках с вымогателями указано как Unknown, криминалистический разбор (forensic triage) — как No.
- В записи CVE есть оценка CISA (эксплуатация: active, не автоматизируема, полное техническое воздействие).
- Масштаб, методы и атакующих по открытой информации подтвердить не удалось. Каким по счёту в этом году стал эксплуатируемый в реальных атаках дефект Chrome, в примечаниях Google не сказано, и этот сайт не проверял, поэтому здесь это не утверждается.
Мнение этого сайта: убедитесь, что браузер перезапущен, а не только обновлён
После загрузки обновления браузер продолжает работать в старом процессе, пока его не перезапустят. На управляемых устройствах доставка обновления и перезапуск пользователем отслеживаются отдельно. Если ориентироваться на вопрос «запущенная версия — 157.0.8103.50 или новее?», пропусков будет меньше (Приоритизация по CVSS, EPSS и KEV).
Источники
- Google — Stable Channel Update for Desktop (Chrome Releases, 9 ноября 2026 года; исправленные версии и сообщение об эксплуатации в реальных атаках)
- CVE.org — CVE-2026-125350 (опубликовано 10 ноября 2026 года; включает добавление CISA)
- NVD — CVE-2026-125350
- CISA KEV — Known Exploited Vulnerabilities Catalog (добавлена 10 ноября, срок 24 ноября)
- Microsoft — Microsoft Edge Security Release Notes (использовано для проверки исправления в Edge)
Последняя проверка: 11 ноября 2026 года.
Читайте далее
- Практика: Плейбук устранения уязвимостей / Чек-лист инвентаризации активов
- Решение: Приоритизация по CVSS, EPSS и KEV
- Термины: Что такое CVE? / Что такое CVSS?