Google закрыла 230 уязвимостей, включая опасную 0-day в браузере Chrome. Эксплойт для CVE-2026-87491 уже применяется в реальных кибератаках, однако кто стоит за ними и кого именно атакуют, корпорация пока не раскрывает. Проблема обнаружена в движке V8, который обрабатывает JavaScript и WebAssembly.
Ошибка записи за пределами выделенной памяти позволяет удалённому злоумышленнику запустить произвольный код внутри песочницы браузера.
Для атаки достаточно заманить пользователя на специально подготовленную HTML-страницу.
Эксплуатация уязвимости также может привести к повреждению памяти, утечке конфиденциальных данных или аварийному завершению Chrome. О возможности самостоятельно вырваться из песочницы и полностью захватить систему Google не сообщает.
Дыру обнаружил стажёр лаборатории Compsec Сеульского национального университета Джихён Чон. Исследователь передал информацию Google, а уже через два дня интернет-гигант начал распространять заплатку.
Безопасные версии Chrome — 153.0.8010.36 для Windows и Linux и 153.0.8010.37 для macOS. Обновление разворачивается постепенно и может добираться до пользователей несколько дней или недель.
Проверить его вручную можно в разделе «Справка» → «О браузере Google Chrome». После установки браузер необходимо перезапустить.
Подробности CVE-2026-87491 Google временно скрывает, пока патч не установит большинство пользователей.
