Google выпустил обновление безопасности Chrome Stable, которое закрывает 10 уязвимостей в версиях для Windows, Mac и Linux. Одна из них — критическая, шесть относятся к высокой степени опасности, ещё три — к средней. Анонс появился 15 октября 2026 года, а сами сборки расходятся по пользователям в течение нескольких дней и недель.
Речь идёт о Chrome 155.0.8059.84/.85 для Windows и Mac и Chrome 155.0.8059.84 для Linux. Обновиться можно через страницу «О браузере» — она запускает проверку вручную, если автоматическое обновление ещё не пришло.
Критическая ошибка в Prerender и use-after-free
Самая серьёзная брешь — CVE-2026-110922, критический use-after-free в функции Prerender. О ней сообщил Xinyang Ge из Anthropic 2 октября. Ошибка такого типа возникает, когда программа обращается к памяти, которая уже освобождена. В зависимости от того, как атакующий доберётся до уязвимости, это может привести к падению браузера или к повреждению памяти.
Технических подробностей Google не раскрывает и не сообщает, что уязвимость уже эксплуатируется. Это стандартная практика: детали держат закрытыми, пока большинство пользователей не установят исправление.
Найденная с помощью Claude AI ошибка в DOM
Вторая по значимости — CVE-2026-110913, повреждение памяти высокой степени опасности в DOM, системе, которая представляет и управляет структурой веб-страниц. Её также сообщил Xinyang Ge, но 29 сентября и при содействии Claude. Google в примечании к релизу публично указывает на помощь ИИ, однако не уточняет, нашёл ли Claude саму уязвимость, помогал ли с анализом и какие шаги для этого потребовались.
Остальные шесть опасных исправлений затрагивают V8 — движок JavaScript в Chrome, а также компоненты Core и SVG. Среди них ещё два use-after-free в V8 — CVE-2026-110919 и CVE-2026-110921 — и проблемы с повреждением памяти CVE-2026-110918, CVE-2026-110917 и CVE-2026-110920. Сообщения поступили от Ge, самой Google и исследователя под ником C0rk1.
Средние уязвимости и общая картина
Три уязвимости средней степени — это некорректная проверка входных данных в компоненте Desktop, use-after-free в Compositing и повреждение памяти в Workers. Все три нашли собственные исследователи Google.
Список показывает, что обновление латает дыры в разных компонентах браузера, а не в одной функции или подсистеме.
| CVE | Опасность | Компонент | Кто сообщил |
|---|---|---|---|
| CVE-2026-110922 | Критическая | Prerender | Xinyang Ge |
| CVE-2026-110913 | Высокая | DOM | Xinyang Ge, Anthropic, при помощи Claude |
| CVE-2026-110919 | Высокая | V8 | Xinyang Ge |
| CVE-2026-110918 | Высокая | Core | |
| CVE-2026-110917 | Высокая | SVG | C0rk1 |
| CVE-2026-110921 | Высокая | V8 | Xinyang Ge |
| CVE-2026-110920 | Высокая | V8 | Xinyang Ge |
| CVE-2026-110916 | Средняя | Desktop | |
| CVE-2026-110915 | Средняя | Compositing | |
| CVE-2026-110914 | Средняя | Workers |
Google также напоминает, что при разработке использует инструменты поиска ошибок: AddressSanitizer, MemorySanitizer, libFuzzer и AFL.
Как обновиться и что делать администратору
Chrome обновляется постепенно, поэтому новая версия приходит не всем одновременно. Проверьте страницу «О браузере» и перезапустите его, если появится соответствующее предложение, — иначе установка не завершится.
В организациях стоит действовать штатным процессом обновления браузера и убедиться, что подчинённые устройства получили исправленную сборку. Это особенно важно, когда закрыты уязвимости в таком массовом продукте, как Chrome: парк машин в компании обычно обновляется волнами, и часть рабочих мест может неделями оставаться на уязвимой версии. Предыдущие крупные выпуски исправлений Google тоже закрывал пачками — например, Chrome 153 с 42 уязвимостями, и тогда картина была похожей.
Отдельный сюжет — участие ИИ в поиске уязвимостей. Google впервые публично указывает Claude в качестве помощника при отчёте об ошибке, но оставляет открытым вопрос, какую именно роль сыграл ИИ. Для администратора это пока не меняет порядок действий: обновляться нужно по факту выхода сборки, а не по способу, которым нашли дыру. Тот же принцип работает и с другими массовыми продуктами: пока патч не установлен, дыра остаётся рабочим вектором — как в случае с 0-day в Citrix NetScaler, где веб-шеллы появлялись на непропатченных устройствах.
Частые вопросы
Кого касается это обновление?
Всех, кто пользуется Chrome на Windows, Mac или Linux. Исправления выходят для трёх платформ одновременно, отдельной сборки для мобильных версий в анонсе нет.
Как проверить, что у меня уже стоит исправленная версия?
Откройте страницу «О браузере». Там отображается текущая версия; если доступно обновление, браузер предложит перезапуск. Нужные сборки — 155.0.8059.84/.85 для Windows и Mac и 155.0.8059.84 для Linux.
Что делать, если обновление ещё не пришло?
Подождать: Google распространяет Chrome постепенно, поэтому часть пользователей получает сборку позже остальных. Можно вручную запустить проверку на странице «О браузере».
Уязвимости уже эксплуатируют?
Google не сообщает об эксплуатации. Для критической ошибки в Prerender технические детали не раскрыты, поэтому судить о наличии атак по открытым данным нельзя.
Чем опасен use-after-free?
Это обращение к уже освобождённой памяти. В зависимости от того, как до него доберётся атакующий, возможны падение браузера или повреждение памяти.
Почему Google не раскрывает подробности?
Компания держит детали закрытыми, пока большинство пользователей не установит исправления. Это ограничивает то, что исследователи и пользователи могут узнать об уязвимостях, пока обновление распространяется.
При чём здесь Claude AI?
Claude указан как помощник при отчёте об уязвимости в DOM. Google не объясняет, нашёл ли ИИ ошибку сам или участвовал в анализе, — в примечании лишь публично отмечена помощь.
Нужно ли что-то менять в корпоративной политике обновлений?
Достаточно штатного процесса: проверить, что управляемые устройства получили исправленную сборку, и перезапустить браузер там, где установка ждёт перезапуска. Отдельных настроек или патчей для этого выпуска не требуется. Если в компании синхронизированные passkeys используются для входа в сервисы, стоит помнить, что компрометация браузера бьёт и по ним — кража синхронизированных passkeys Google без пароля и биометрии уже демонстрировалась исследователями.
Источник: cybersecuritynews.com