Google випустила оновлення Chrome, яке закриває вразливість XML із уже наявним експлойтом у реальних атаках. Виправлення входить до настільного релізу від 9 листопада, відповідного оновлення Android та окремої збірки Extended Stable. Якщо браузер не закривали кілька днів, перевірте версію й перезапустіть його: завантажене оновлення почне працювати лише після перезапуску. [1] [2]
Експлуатована помилка XML — одне з дев’яти виправлень
CVE-2026-125350 — вразливість високого рівня небезпеки класу use-after-free у компоненті XML. Анонімний дослідник повідомив про неї 6 листопада. Use-after-free означає помилку роботи з пам’яттю: програма продовжує використовувати ділянку після її звільнення. Це пояснення класу помилки, а не відтворення атаки.
Google підтвердила існування експлойта в реальних атаках, але не назвала потерпілих, нападників, доставлене шкідливе навантаження чи повний ланцюжок експлуатації. У тому самому релізі є ще одна помилка use-after-free в XML — CVE-2026-125346. Заява про експлуатацію стосується саме CVE-2026-125350; поширювати її на всі виправлення було б неправильно. Частина технічних подробиць залишається закритою, поки оновлення доходять до користувачів. [1]
Важлива і версія, і канал оновлення
Нижче наведено збірки, оголошені 9 листопада. Встановлюйте найновіше оновлення, доступне для вашого підтримуваного пристрою: воно може вже замінювати зазначені версії.
| Платформа й канал | Виправлена версія |
|---|---|
| Windows і macOS, Stable | 157.0.8103.50 157.0.8103.51 |
| Linux, Stable | 157.0.8103.50 |
| Windows і macOS, Extended Stable | 156.0.8078.96 |
| Android, Stable | 157.0.8103.50 |
Менший номер основної версії Extended Stable є очікуваним: Google включила цю CVE до окремого оновлення безпеки цього каналу. Тому керовану інсталяцію не варто оцінювати лише за тим, чи починається номер із 157. В оголошенні для Android сказано, що він отримує відповідні настільні виправлення, якщо не зазначено інше; доступність через Google Play розгортається поступово. Ці номери не визначають виправлені версії iOS чи інших браузерів на Chromium. [1]
Завантаження ще не означає застосування
- На комп’ютері відкрийте меню Chrome, далі Довідка → Про Google Chrome, або введіть
chrome://settings/helpв адресному рядку. - Дочекайтеся перевірки оновлень і натисніть Перезапустити, якщо з’явиться така пропозиція. Спершу збережіть роботу: Google попереджає, що вікна анонімного перегляду автоматично не відкриються знову.
- Після перезапуску поверніться до сторінки «Про Google Chrome» й перевірте версію, яка тепер працює. Для Linux Google вказує шлях через менеджер пакунків. На керованому пристрої заблоковане чи недоступне оновлення потрібно з’ясувати з адміністратором.
Інструкція Google пояснює, чому недостатньо просто залишити браузер відкритим: фонові оновлення зазвичай застосовуються після закриття та повторного запуску Chrome. На Android перевіряйте оновлення Chrome у Google Play, а не порівнюйте телефон із каналом, призначеним для комп’ютерів. [2] [1]
Використовуйте вбудований механізм оновлення браузера. Інсталятор із випадкової вебсторінки не є цим механізмом; якщо ви вже запустили такий файл, встановлення патча саме по собі не скасує окреме зараження.
Якщо браузер уже перенаправляє пошук або має небажані розширення, це окрема перевірка: у справі Searchjacked приховані розширення перехоплювали трафік пошуку. Сам номер виправленої версії не підтверджує, що таких розширень немає.
Практична різниця — між доступним виправленням і версією, яка справді працює. Перевірте канал, застосуйте його оновлення та ще раз звірте номер після перезапуску.
Джерела
- Google Chrome Releases. «Stable Channel Update for Desktop», «Extended Stable Update for Desktop» та «Chrome for Android Update». 9 листопада 2026 року; переглянуто 11 листопада 2026 року. Офіційний архів листопадових релізів.
- Google Chrome Help. «Update Google Chrome». Переглянуто 11 листопада 2026 року. Оновлення, перезапуск і перевірка версії.
