Множество уязвимости в Google Chrome могат да позволят повреждане на паметта и атаки за изпълнение на код

Google пусна актуализация за сигурност на Chrome, която отстранява 37 уязвимости, включително седем критични дефекта, пораждащи опасения за повреждане на паметта и възможно изпълнение на код.

Публикувана на 13 октомври 2026 г., актуализацията обхваща Windows, Mac и Linux, като корекциите за сигурност засягат графичната подсистема, обработката на PDF файлове, медийните процеси, мрежовите операции и други компоненти на браузъра.

Според бюлетина на Google за актуализация на стабилния канал за настолни системи версиите с коригирани уязвимости са 155.0.8059.79/.80 за Windows и Mac, и 155.0.8059.79 за Linux. Изданието включва седем корекции с критично, 29 с високо и една със средно ниво на сериозност.

От Google съобщават, че разпространението на актуализациите ще продължи през следващите дни и седмици. Критичните уязвимости включват CVE-2026-110152 – препълване на буфера в ANGLE (графичния слой на Chrome за транслация). Дженпън „Leo“ Лин от depthfirst докладва за проблема на 30 септември.

Препълването на буфера може да повреди паметта, когато софтуерът записва данни извън заделеното за тях пространство, което потенциално създава възможности за атакуващите да променят поведението на програмата.

Останалите шест критични уязвимости са от тип use-after-free. CVE-2026-110149 засяга Browser, CVE-2026-110136 засяга PDF, CVE-2026-110161 засяга Network, а CVE-2026-110165 засяга Core.

Множество уязвимости в Google Chrome

Google също така коригира CVE-2026-110148 в SVG и CVE-2026-110151 в Media. Тези констатации включват изследователи от Google и Синян Гъ.

Уязвимост от тип use-after-free възниква, когато софтуерът продължава да осъществява достъп до паметта след нейното освобождаване. В зависимост от грешката атакуващите могат да повлияят на съдържанието на тази памет, предизвиквайки сривове, повреждане на данни или потенциално изпълнение на зловреден код. Самата категория на дефекта обаче не осигурява автоматично възможност за атака срещу всеки засегнат компонент.

По-рано Cybersecurity News отрази актуализация на Chrome, която отстрани 247 уязвимости, включително четири критични проблема от тип use-after-free. Последното издание продължава този фокус върху безопасността на паметта в множество функционалности на браузъра, вместо да се ограничава до единичен изолиран компонент.

Сред уязвимостите с висока степен на сериозност е CVE-2026-110169, която засяга V8 – двигателя на Chrome за JavaScript и WebAssembly. В доклада за уязвимостта от Rapid7 се посочва, че специално създадена HTML страница би могла да позволи на отдалечен атакуващ да изпълни произволен код в изолираната среда на Chrome във версии преди 155.0.8059.79.

Това ограничение е от съществено значение. Изпълнението на код в изолираната среда само по себе си не означава, че атакуващият може да поеме контрол над цялата операционна система.

В съобщението за актуализацията от Google не се описва цялостна верига от атаки и не се потвърждава тези новокоригирани уязвимости да се експлоатират активно в реална среда.

Google отдава признание на Синян Гъ от Anthropic, подпомогнат от Claude, за докладването на CVE-2026-110169. Други корекции с висока степен на сериозност отстраняват грешки от тип type confusion във V8, препълвания на буфера в Animation и PDFium, изтичане на информация в Passwords, ескалация на привилегии в Installer, както и проблеми с оторизацията в ReadingMode, Updater и Mojo.

За контекст, материалите на Cybersecurity News относно по-ранни корекции за сигурност в ANGLE и V8 изясняват как проблемите при управлението на паметта многократно засягат обработката на графики и скриптове.

Потребителите трябва да отворят менюто на Chrome, да изберат „Помощ“, след което „Относно Google Chrome“, за да проверят за актуализации. След инсталирането изберете „Рестартиране“, за да приложите корекциите за сигурност. Потребителите на Linux трябва да извършат обновяването чрез своя пакетен мениджър. Ръководството на Google за актуализиране на Chrome подробно описва тези стъпки.

Google може да ограничи достъпа до подробните доклади за грешки, докато по-голямата част от потребителите не получат корекциите. Ограничения могат да останат в сила и ако засегнати външни библиотеки все още не са поправени другаде, което ограничава техническата информация, налична в момента за анализатори и специалисти по киберсигурност.