Обновлението на Google Chrome 153 отстранява 42 уязвимости в сигурността, включително 3 от критично ниво

Google пусна важно обновление за сигурност на Chrome 153, което отстранява 42 уязвимости в браузъра, включително три грешки, оценени като критични (Critical). Стабилният канал (Stable channel) преминава към версия 153.0.8010.47/.48 за Windows и macOS и 153.0.8010.47 за Linux, като обновлението се разпространява поетапно през следващите дни и седмици.

CVE-2026-91721 е уязвимост от тип use-after-free в компонента Internals на Chrome, съобщена от изследователя xinyang, докато CVE-2026-91749 е use-after-free грешка, засягаща Workers, съобщена от WinD39–Huynh Dinh Vu. Третата, CVE-2026-91726, е грешка за четене извън границите (out-of-bounds read) в WebGL, установена вътрешно от Google.

Грешките от тип use-after-free възникват, когато софтуерът продължава да се обръща към паметта, след като тя вече е била освободена, създавайки потенциално висящ указател (dangling pointer), който атакуващите могат да манипулират.

В зависимост от засегнатия процес, наличните защити и достъпните примитиви за експлоатация, този клас грешки може да предизвика срив, разкриване на данни или да позволи изпълнение на произволен код.

Google Chrome отстранява 42 уязвимости

Грешката в WebGL също е от съществено значение, тъй като достъпът извън границите може да накара дадено приложение да чете извън предвидената граница на паметта. Google не е предоставил сценарии за експлоатация или технически подробности за трите критични уязвимости, а в бюлетина не се посочва някой от 42-та новокоригирани проблема да се експлоатира активно.

Chrome 153 отстранява и 27 уязвимости с висока степен на сериозност (High), обхващащи едни от най-чувствителните от гледна точка на сигурността компоненти на браузъра. Те включват use-after-free грешки в Input, Skia, DOM, WebAppInstalls, Core, Auth, DigitalCredentials, PDF и V8, съвместно с проблеми от тип type-confusion в Compositing, CacheStorage и ServiceWorker. Google също така отстрани препълвания на цели числа (integer overflows) в V8 и Compositing, състезания за ресурси (race conditions) в Core, PlatformIntegration, Extensions и Network, както и запис извън границите (out-of-bounds write) в ServiceWorker.

Пропуските в оторизацията и валидацията разширяват обхвата извън повреждането на паметта. Обновлението коригира проблеми с оторизацията в Core, Android и WebUI, проблем с неправилно разрешаване на референции в Extensions, грешки с неинициализирани ресурси в ANGLE и Skia, както и неправилна валидация на състоянието в Skia.

Тази широта демонстрира сложността на осигуряването на сигурността на съвременен браузър, който обработва графика, скриптове, разширения, документи, идентификационни данни и недоверено уеб съдържание в рамките на взаимосвързани процеси.

Останалите корекции за сигурност покриват десет уязвимости със средна степен на сериозност (Medium) и една с ниска степен (Low). Те включват провали в оторизацията, наблюдаеми несъответствия във Fonts и CSS, неправилна валидация на входните данни в ANGLE, непълно почистване на GetUserMedia и още един use-after-free в Input. Уязвимостта с ниска степен на сериозност CVE-2026-91719 представлява уязвимост за инжектиране на код в XML, съобщена от Zabith Mohammed.

Google присъди 1500 щатски долара на Hafiizh за съобщаването на CVE-2026-91724 – уязвимост от тип use-after-free в Input с висока степен на сериозност. Jihyeon Jeong от Compsec Lab към Сеулския национален университет получи 1000 щатски долара за CVE-2026-91728 – препълване на цели числа в V8.

Наградите за няколко външно съобщени констатации остават отбелязани като „TBD“, което показва, че сумите не са били финализирани, когато Google публикува бюлетина.

Подробните връзки към грешките могат да останат с ограничен достъп, докато повечето потребители не получат корекциите. Google може да запази ограниченията по-дълго, когато съществува уязвимост в библиотека на трета страна, от която зависят други, все още некоригирани проекти, ограничавайки достъпа на атакуващите до техническа информация по време на внедряването.

Потребителите трябва да отворят менюто на Chrome, да преминат към „Помощ“ (Help) и след това „За Google Chrome“ (About Google Chrome), да позволят на обновлението да се инсталира и да изберат „Рестартиране“ (Relaunch). От Google посочват, че Chrome обикновено се обновява във фонов режим, но е необходимо рестартиране за прилагане на изчакващо обновление.

Корпоративните администратори трябва да ускорят внедряването, да потвърдят използваната версия на управляваните крайни устройства и да разследват устройства, възпрепятствани от политики за обновяване или изчакващи рестартирания.

Google поддържа централизирано управление на обновленията на Chrome чрез Group Policy на съвместими Windows устройства, докато администраторите могат да прегледат приложените настройки на chrome://policy. На Windows контролите за политики се прилагат само за устройства, присъединени към домейн или управлявани чрез MDM, така че неуправляваните системи и рядко свързваните крайни устройства изискват отделни проверки.

Екипите по сигурност трябва да инвентаризират дублираните инсталации и алтернативните канали, да наложат краен срок за обновяване и да потвърдят, че потребителите са рестартирали браузъра. Самото активиране на автоматичните обновления не гарантира, че коригираният двоичен файл се изпълнява на целия парк от устройства.

Google отдава заслуженото на AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer и AFL за откриването на редица грешки в сигурността. Предвид броя и сериозността на корекциите, потребителите трябва да потвърдят инсталирането на Chrome 153.0.8010.47/.48 за Windows или macOS и 153.0.8010.47 за Linux, вместо да чакат приключването на поетапното разпространение.