Google устранила 230 уязвимостей в Chrome — одну из них уже эксплуатируют в атаках
Google выпустила обновление стабильной версии Chrome для настольных систем, в котором устранены 230 уязвимостей. Как сообщили в The Hacker News, одна из закрытых брешей на момент выхода патча уже использовалась в атаках.
Речь идёт об уязвимости CVE-2026-87491 средней степени опасности — записи за пределами выделенного буфера памяти (out-of-bounds write) в V8, движке Chrome для обработки JavaScript и WebAssembly. Согласно описанию в американской национальной базе уязвимостей NVD, ошибка позволяет удалённому злоумышленнику выполнить произвольный код внутри песочницы браузера с помощью специально подготовленной HTML-страницы. Затронуты все сборки Chrome младше версии 153.0.8010.36.
Кто нашёл ошибку
Уязвимость обнаружил исследователь Джихён Чон из лаборатории Compsec Lab Сеульского национального университета. Он передал данные о находке 6 августа 2026 года и получил за это вознаграждение в размере 2500 долларов.
В Google подтвердили, что рабочий эксплойт для CVE-2026-87491 существует и применяется, однако не стали раскрывать подробности — ни того, как именно брешь использовали в реальных атаках, ни того, кто за ними стоит. Доступ к техническим деталям бага и связанным с ним ссылкам компания традиционно ограничивает до тех пор, пока исправление не установит большинство пользователей. Ограничения сохраняются и в тех случаях, когда проблема кроется в сторонней библиотеке, от которой зависят другие проекты, ещё не выпустившие собственные патчи.
Седьмой zero-day в Chrome с начала года
CVE-2026-87491 стала седьмой уязвимостью нулевого дня в Chrome, которую Google закрыла в 2026 году после подтверждённых случаев эксплуатации. Ранее в этот перечень вошли CVE-2026-2441, CVE-2026-3909 и CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, а также CVE-2026-85046, о которой стало известно в начале сентября. Три из семи брешей пришлись именно на движок V8 — он остаётся одной из главных мишеней атакующих, поскольку обрабатывает код с любого открытого сайта.
Что ещё исправили
Помимо активно эксплуатируемой бреши, обновление устраняет пять критических уязвимостей в компонентах WebGL и Cast.
| Идентификатор | Компонент | Тип уязвимости |
|---|---|---|
| CVE-2026-87464 | WebGL | Использование памяти после освобождения |
| CVE-2026-87488 | WebGL | Использование памяти после освобождения |
| CVE-2026-87438 | WebGL | Запись за пределами буфера |
| CVE-2026-87527 | WebGL | Переполнение буфера |
| CVE-2026-87628 | Cast | Использование памяти после освобождения |
Критические уязвимости, закрытые в сентябрьском обновлении Chrome
Из 230 закрытых ошибок 195 нашли сами специалисты Google. Ещё одну — опасное использование памяти после освобождения в компоненте WebPackaging (CVE-2026-87639) — обнаружила команда OpenAI Codex Security. В компании отметили, что значительная часть багов выявляется автоматическими инструментами анализа: AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer и AFL.
Что делать пользователям
Для полноценной защиты нужно установить версию 153.0.8010.36/.37 для Windows и macOS либо 153.0.8010.36 для Linux. Проверить наличие обновления можно через меню «Настройка и управление Google Chrome» → «Справка» → «О браузере Google Chrome», после чего нажать кнопку перезапуска.
Обновиться стоит и тем, кто пользуется другими браузерами на базе Chromium — Microsoft Edge, Brave, Opera и Vivaldi. Исправления в них появляются по мере выпуска новых сборок разработчиками, поэтому проверять наличие апдейтов в ближайшие дни имеет смысл вручную.
