Google пусна голямо обновяване за сигурност на Chrome на 6 октомври 2026 г., отстранявайки 247 уязвимости, включително четири критични дефекта, свързани със безопасността на паметта, за Windows, Mac и Linux.
Коригираните версии са 155.0.8059.39/.40 за Windows и Mac и 155.0.8059.39 за Linux. Въпреки че критичните грешки пораждат притеснения относно възможно изпълнение на код, съобщението на Google ги идентифицира като уязвимости от тип use-after-free. То не описва конкретни методи за експлоатация и не потвърждава възможност за изпълнение на произволен код.
Първата критична уязвимост, CVE-2026-106382, засяга Chromecast. Google съобщи за проблема с use-after-free на 15 юли 2026 г. Втората, CVE-2026-106197, засяга компонента Browser и е докладвана от изследователя по сигурността Xinyang Ge на 11 септември 2026 г.
CVE-2026-106358 засяга Navigation и е докладвана на 28 септември 2026 г. CVE-2026-106347 засяга Track и е докладвана на 30 септември 2026 г.
Google изразява благодарност на Xinyang Ge от Anthropic, подпомогнат от Claude, за двете открития, подчертавайки помощта на изкуствения интелект в процеса на изследване на уязвимости.
Всички 4 критични записа споделят една и съща основна категория слабост: use-after-free. Тази категория се отнася до софтуер, който осъществява достъп до памет, след като тя вече е била освободена.
| CVE | Засегнат компонент | Уязвимост | Докладвана от |
|---|---|---|---|
| CVE-2026-106382 | Chromecast | Use after free | |
| CVE-2026-106197 | Browser | Use after free | Xinyang Ge |
| CVE-2026-106358 | Navigation | Use after free | Xinyang Ge, Anthropic, assisted by Claude |
| CVE-2026-106347 | Track | Use after free | Xinyang Ge, Anthropic, assisted by Claude |
Въпреки това бюлетинът не установява дали тези конкретни дефекти позволяват излизане от изолираната среда, изискват потребителско взаимодействие или могат да бъдат комбинирани във работеща верига от атаки.
Обновяване на Chrome коригира 247 уязвимости
Google не е заявила изрично, че тези уязвимости се експлоатират активно. Това отсъствие не трябва да се тълкува като доказателство, че експлоатация никога не се е случвала.
Обновяването отстранява и грешки с висока степен на сериозност в графиката, медиите, браузърните интерфейси и контролите за сигурност. CVE-2026-102322 включва неправилна авторизация в SiteIsolation, докато CVE-2026-106239 се отнася до препълване на цели числа (integer overflow) в WebGL. Няколко уязвимости в ANGLE включват неинициализирани ресурси, съчетани с проблеми с объркване на типовете (type confusion) и use-after-free.
Двигателят V8 получава корекции за състезание за ресурси (race conditions), объркване на типовете и use-after-free. Други засегнати компоненти включват WebRTC, WebAudio, PDF, Storage, Autofill, Fonts и DevTools. Записите със средна и ниска степен на сериозност покриват изтичане на информация, липсваща авторизация, подвеждащи интерфейси и допълнителни слабости при обработката на ресурси.
Google съобщава, че много грешки в сигурността се откриват с помощта на AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer или AFL. Тези инструменти са част от по-широките усилия на компанията за тестване на сигурността.
Google предупреждава, че достъпът до подробности за грешките може да остане ограничен, докато повечето потребители не инсталират корекциите за сигурност. Ограниченията могат да продължат и когато дадена уязвимост засяга библиотека на трета страна, използвана от други проекти, които все още не са я коригирали.
За организациите, проследяващи отстраняването на уязвимости, обявените номера на версии осигуряват ясна референция за проверка на прогреса на внедряване. Поетапното разпространение означава, че наличността може да се различава между системите. Екипите по сигурност трябва да разграничават потвърдените корекции от непотвърдените твърдения относно възможността за експлоатация, когато комуникират риска от това издание към потребителите и администраторите.