Google и Mozilla во вторник одновременно выпустили обновления Chrome и Firefox, которые в сумме закрывают более 200 уязвимостей. Chrome 156 исправляет 52 дефекта безопасности, Firefox 159 — 167. Ни один из этих багов, по заявлениям вендоров, не эксплуатировался в дикой природе, но оба браузера рекомендуют обновить как можно скорее.
Chrome 156: четыре критических дефекта
В Chrome 156 закрыто 52 уязвимости. Четыре из них получили критический уровень опасности:
- повреждение памяти в FileSystem (CVE-2026-118306);
- неверная проверка входных данных в FileAPI;
- неверная проверка входных данных в Skia;
- use-after-free в Layout.
Самая серьёзная из них — CVE-2026-118306. Через специально сформированную HTML-страницу эта ошибка позволяет выполнить произвольный код за пределами песочницы браузера. Остальные 46 исправленных дефектов относятся к высокому уровню опасности, и большинство из них — это повреждение памяти, неверная проверка входных данных и use-after-free.
Google ещё не определил размер вознаграждений исследователям, сообщившим об этих ошибках. За 39 уязвимостей выплат не будет: большинство из них найдены внутри компании или с помощью ИИ.
Новая версия Chrome распространяется как 156.0.8078.73/.74 для Windows и macOS и как 156.0.8078.73 для Linux.
Firefox 159: 167 исправлений
Mozilla выпустила Firefox 159 со 167 исправлениями безопасности, из которых 108 относятся к высокому уровню опасности. Большинство патчей устраняют ошибки use-after-free. Также закрыты множественные проблемы с побегом из песочницы, повышением привилегий, некорректными границами и обходом политики same-origin.
В тот же день вышли Thunderbird 159 и 153.6, а также Firefox ESR 153.6 и 115.44 — они закрывают многие из тех же уязвимостей.
Что делать администратору
Обновление браузеров — самый простой шаг, который можно сделать прямо сейчас. Проверьте версии вручную или через систему управления обновлениями:
- Chrome: меню → «Справка» → «О браузере Google Chrome». Нужна версия 156.0.8078.73/.74 (Windows, macOS) или 156.0.8078.73 (Linux).
- Firefox: меню → «Справка» → «О Firefox». Нужна версия 159.
Если в организации используется Firefox ESR, обновите его до 153.6 или 115.44. Для Thunderbird актуальны версии 159 и 153.6. Автоматические обновления обычно приходят в течение нескольких дней, но в корпоративной среде их стоит проверить через консоль управления.
Стоит помнить, что в прошлом месяце Google уже закрывал десять уязвимостей в Chrome 155, а сейчас число патчей выросло в разы. Регулярное обновление браузера остаётся базовой мерой защиты рабочего места.
Почему это важно для бизнеса
Браузер — одна из самых атакуемых программ на рабочем компьютере. Уязвимости в FileSystem, FileAPI и Skia теоретически позволяют злоумышленнику выполнить код через вредоносную веб-страницу. Для малого бизнеса, где сотрудники ежедневно открывают десятки сайтов, несвоевременное обновление создаёт реальный риск. Исправления уже доступны, и откладывать их не стоит.
Отдельно стоит держать в поле зрения серверный и клиентский софт: пока браузеры закрывают сотни дефектов, в других продуктах находят уязвимости с уже подтверждённой эксплуатацией — например, CISA зафиксировала атаки на три уязвимости ядра Linux. Браузерное обновление — базовый, но не единственный элемент гигиены.
Частые вопросы
Кого касается это обновление?
Всех, кто пользуется Chrome или Firefox на Windows, macOS и Linux. Корпоративные администраторы должны проверить версии на рабочих станциях сотрудников.
Какие версии Chrome и Firefox актуальны?
Chrome — 156.0.8078.73/.74 для Windows и macOS, 156.0.8078.73 для Linux. Firefox — 159. Для Firefox ESR — 153.6 или 115.44.
Есть ли среди уязвимостей критические?
Да, в Chrome четыре критических дефекта: повреждение памяти в FileSystem (CVE-2026-118306), неверная проверка входных данных в FileAPI и Skia, use-after-free в Layout. CVE-2026-118306 позволяет выполнить код за пределами песочницы.
Эксплуатировались ли эти уязвимости в реальных атаках?
Google и Mozilla не сообщают об эксплуатации этих багов в дикой природе. Тем не менее оба вендора рекомендуют обновляться как можно скорее.
Что делать, если обновиться нельзя?
Если автоматическое обновление недоступно, скачайте установщик с официального сайта Google или Mozilla и установите вручную. Для корпоративных систем используйте централизованное развёртывание.
Затронуты ли Thunderbird и Firefox ESR?
Да, Mozilla выпустила Thunderbird 159 и 153.6, а также Firefox ESR 153.6 и 115.44 с исправлениями многих из этих уязвимостей.
Нужно ли платить за обновление?
Нет, обновления Chrome и Firefox бесплатны и распространяются автоматически.
Как проверить версию браузера?
В Chrome откройте меню → «Справка» → «О браузере Google Chrome». В Firefox — меню → «Справка» → «О Firefox». Номер версии отобразится на экране.
Источник: securityweek.com