RUENЗагрузить файл
Новости · Безопасность файлов

Chrome 157 закрыл рекордные 213 уязвимостей: 7 критических

3 ноября 2026 года Google выпустила обновление Chrome 157.0.8103.38/.39 для Windows и macOS (157.0.8103.38 — для Linux), устранив 213 уязвимостей безопасности — крупнейший набор патчей Chrome за весь 2026 год. Семь из них критические, четыре — use-after-free в разных компонентах браузера. Исследователи, нашедшие баги, получили от Google 31 000 долларов вознаграждений. Разбираем, что произошло и что сделать прямо сейчас.

5 ноября 2026 Редакция LoadFile Чтение 5 мин
Иконка окна браузера с треснувшим щитом и иконками уязвимостей на тёмном фоне

Коротко: 3 ноября 2026 года Google выпустила Chrome 157.0.8103.38/.39 (Windows, macOS) и 157.0.8103.38 (Linux), закрыв 213 уязвимостей — 7 критических, 77 высокой степени риска, 75 средних и 54 низких. Это самый крупный набор патчей Chrome за год. Активной эксплуатации в реальных атаках на момент релиза не зафиксировано, поэтому у пользователей есть окно, чтобы обновиться раньше злоумышленников. Сделать это можно через «Настройки → О браузере Google Chrome» с последующим перезапуском.

Что произошло

3 ноября 2026 года Google перевела в стабильный канал версию Chrome 157 для Windows, macOS, Linux и Android. Обновление закрывает 213 уязвимостей безопасности — больше, чем в любом другом релизе Chrome за 2026 год. Для сравнения: предыдущее крупное обновление, Chrome 156 от 27 октября, закрыло 52 бреши. Из 213 исправлений семь отнесены к критическому уровню, 77 — к высокому, 75 — к среднему и 54 — к низкому. По данным обозревателей, самый частый тип бага в релизе — use-after-free (обращение к уже освобождённой памяти): таких уязвимостей насчитали 45, ещё 13 связаны с утечками данных и 13 — с ошибками типизации (type confusion).

Google выплатила исследователям, которые нашли и сообщили об этих уязвимостях, в общей сложности 31 000 долларов в рамках программы вознаграждений за баги.

Семь критических уязвимостей

Четыре из семи критических проблем — это use-after-free в разных компонентах браузера. Среди подтверждённых критических CVE этого релиза:

  • CVE-2026-121229 — повреждение памяти (memory corruption) в графическом слое ANGLE на Android. Позволяет потенциально выполнить произвольный код за пределами песочницы браузера через специально подготовленную HTML-страницу.
  • CVE-2026-121035 — use-after-free в компоненте Prerender, который отвечает за предзагрузку страниц для ускорения навигации.
  • CVE-2026-121156 — переполнение буфера в Dawn, компоненте, который реализует WebGPU — доступ веб-страниц к графическому процессору устройства для рендеринга и вычислений.

Остальные четыре критические уязвимости релиза (CVE-2026-121246, CVE-2026-121247, CVE-2026-121203, CVE-2026-121126) на момент публикации не раскрыты Google подробно — компания традиционно ограничивает доступ к деталям самых опасных багов, пока основная масса пользователей не обновится.

!
Активная эксплуатация не подтверждена

Ни по одной из 213 исправленных уязвимостей Google не сообщала об использовании в реальных атаках. Это и есть то самое «окно возможностей»: пока патч не установлен массово, риск для необновлённых пользователей растёт с каждым днём, по мере того как детали уязвимостей становятся доступнее исследователям и злоумышленникам.

Почему это важно тем, кто работает с файлами в браузере

Chrome давно перестал быть просто окном для просмотра страниц — это полноценный инструмент для работы с файлами: встроенный просмотрщик PDF, формы загрузки документов на сайты, веб-редакторы изображений и таблиц, облачные хранилища. Критические уязвимости в графических и рендеринг-компонентах браузера — Dawn, ANGLE, Prerender — потенциально позволяют вредоносной странице выйти за пределы песочницы без каких-либо действий со стороны пользователя, кроме самого открытия страницы. Для тех, кто регулярно открывает присланные ссылки, скачивает файлы из непроверенных источников или работает в браузере с онлайн-конвертерами, это лишний повод держать Chrome обновлённым и проверять происхождение сайта перед тем, как разрешать ему доступ к файлам или графическому процессору устройства. Общие правила безопасной работы с вложениями и подозрительными файлами собраны в разделе безопасность файлов, а список рискованных типов файлов — в карте опасных расширений на Loadfile.

Что делать прямо сейчас

  1. Откройте меню Chrome → Настройки → О браузере Google Chrome. Обновление начнёт скачиваться автоматически.
  2. После загрузки нажмите «Перезапустить» — без перезапуска новая версия не вступит в силу.
  3. Проверьте, что установлена версия 157.0.8103.38 или новее (на Windows и macOS возможна сборка .39).
  4. Пользователям Edge, Brave, Opera и Vivaldi стоит отдельно проверить версию своего браузера — вендоры на базе Chromium выпускают собственные сборки с задержкой в несколько дней.
  5. Если браузер давно не перезапускался или настроен на ручное обновление — сделайте это в первую очередь: именно необновлённые фоновые вкладки чаще всего остаются уязвимыми дольше всего.
✓
Общее правило безопасной работы с файлами

Обновлённый браузер снижает риск, но не отменяет базовую гигиену: не разрешайте незнакомым сайтам доступ к файлам и графике устройства «по умолчанию», проверяйте подозрительные страницы и скачанные файлы перед открытием.

Источники

Читайте также