Chrome 156 закрыл 52 уязвимости: критические баги в FileSystem и FileAPI

Коротко: 27 октября 2026 года Google выпустила Chrome 156.0.8078.73/.74 (Windows, macOS) и 156.0.8078.73 (Linux), закрыв 52 уязвимости, 4 из них критические. Две критические — CVE-2026-118306 (повреждение памяти в FileSystem) и CVE-2026-118331 (некорректная валидация ввода в FileAPI) — находятся в компонентах браузера, которые отвечают за доступ веб-страниц к файлам пользователя. Обновите Chrome через меню «Справка → О браузере Google Chrome» и перезапустите его.

Что произошло

27 октября 2026 года Google объявила о новом стабильном релизе Chrome — 156.0.8078.73/.74 для Windows и macOS и 156.0.8078.73 для Linux. Обновление закрывает 52 уязвимости: 4 критические, 46 с высокой степенью серьёзности и 2 средних. Это один из крупнейших наборов патчей для Chrome за октябрь 2026 года — ранее в месяце, 13 октября, вышло обновление Chrome 155 с 37 исправлениями, в том числе 7 критическими.

Если браузер настроен на автоматическое обновление, патч уже должен быть установлен после перезапуска. Пользователям Chromium-браузеров — Edge, Brave, Opera, Vivaldi — стоит отдельно проверить версию, так как вендоры выпускают собственные сборки с задержкой в несколько дней.

CVE-2026-118306 и CVE-2026-118331: баги в работе с файлами

Главный повод для внимания читателей Loadfile — то, что две из четырёх критических уязвимостей затрагивают компоненты, через которые Chrome обращается к файлам пользователя:

• CVE-2026-118306 — повреждение памяти (memory corruption) в FileSystem, компоненте Chrome, который реализует File System Access API — возможность для веб-страниц читать и записывать файлы на диске с разрешения пользователя. Уязвимость позволяет злоумышленнику потенциально выполнить произвольный код за пределами песочницы браузера через специально подготовленную HTML-страницу.
• CVE-2026-118331 — некорректная валидация ввода (improper input validation) в FileAPI, более старом и широко используемом интерфейсе доступа к файлам — через него работают, например, формы загрузки файлов и чтение содержимого файлов в JavaScript. Эта уязвимость позволяет выполнение кода внутри песочницы, что менее критично, чем выход за её пределы, но всё равно открывает путь к дальнейшей атаке.

Разница между «внутри» и «вне» песочницы (sandbox) принципиальна: песочница Chrome изолирует код веб-страницы от остальной системы, и обход этой изоляции (как в случае CVE-2026-118306) — более тяжёлый сценарий атаки, потому что одной уязвимости в рендерере уже достаточно для полноценной компрометации.

Другие критические и крупные уязвимости

Оставшиеся две критические уязвимости релиза — CVE-2026-118348 (некорректная валидация ввода в графической библиотеке Skia, которая отвечает за рендеринг 2D-графики и часть обработки изображений) и CVE-2026-118344 (use-after-free в модуле Layout, отвечающем за вёрстку страницы). Из 46 уязвимостей высокой степени риска часть относится к движку JavaScript, обработке SVG-графики и вёрстке страниц.

Значительную часть багов в этом и предыдущем релизе Chrome нашла команда OpenAI Codex Security — то же самое подтверждает и Mozilla в отношении своего параллельного релиза Firefox 159. Рост числа находок от команд, специализирующихся на ИИ-инструментах для анализа безопасности, становится заметным паттерном в отчётах об уязвимостях браузеров за 2026 год.

Почему это важно тем, кто работает с файлами в браузере

File System Access API и FileAPI — это именно те интерфейсы, через которые современный браузер превратился в полноценный инструмент для работы с файлами: загрузка документов на сайты, онлайн-редакторы изображений и PDF, веб-приложения для монтажа видео и облачные хранилища — всё это использует доступ к локальным файлам прямо со страницы. Уязвимость в этом слое означает, что вредоносная страница, маскирующаяся под, например, онлайн-конвертер или редактор PDF-файлов, теоретически может попытаться использовать баг обработки файлов без каких-либо дополнительных действий со стороны пользователя, кроме самого открытия страницы.

Это не повод отказываться от удобных веб-инструментов для файлов — большинство из них работает штатно и безопасно после установки патча. Но лишний повод проверять происхождение сайта перед тем, как разрешать ему доступ к файлам, и держать браузер обновлённым. Общие правила безопасной работы с вложениями и расширениями файлов собраны в разделе безопасность файлов на Loadfile, а список потенциально опасных типов файлов — в карте опасных расширений.

Что делать прямо сейчас

1. Откройте меню Chrome → Справка → О браузере Google Chrome. Обновление начнёт скачиваться автоматически.
2. После загрузки нажмите «Перезапустить» — без перезапуска новая версия не вступает в силу.
3. Проверьте, что установлена версия 156.0.8078.73 или новее (на Windows и macOS — сборка .74).
4. Пользователям Edge, Brave, Opera и Vivaldi — дождитесь и установите отдельное обновление на базе Chromium 156 от своего вендора.
5. Если браузер давно не перезапускался или настроен на ручное обновление, сделайте это в первую очередь — именно необновлённые фоновые вкладки чаще всего остаются уязвимыми дольше всего.

Источники

• Malwarebytes — Update Chrome and ChromeOS to fix critical security issues
• BetaNews — Chrome 156 update and Firefox 159 close 219 security flaws, four critical
• SecurityOnline — Chrome 156 Security Update Fixes 6 Critical Vulnerabilities