CVE-2026-125350: Нульовий день у Chrome XML активно експлуатовано

Google випустила екстрене оновлення безпеки для усунення CVE-2026-125350, вразливості нульового дня з високим рівнем загрози в компоненті XML Google Chrome, яка вже експлуатується в реальних атаках. Проблема класифікується як помилка в безпеці пам’яті після вивільнення (use-after-free) і була анонімно повідомлена Google 6 листопада 2026 року.

Google підтвердила 9 листопада, що вразливість вже експлуатується в природних умовах. Однак компанія не розкрила, як зловмисники здійснюють експлуатацію, які організації або особи є ціллю, або чи вразливість поєднується з іншими помилками втечі з браузера або пісочниці. Доступ до основної помилки в Chromium залишається обмеженим, поки користувачі встановлюють оновлення безпеки.

Виправлення включено в Chrome Stable 157.0.8103.50/.51 для Windows і macOS, а також 157.0.8103.50 для Linux. Google також випустила Extended Stable 156.0.8078.96 для Windows і macOS з виправленням цієї проблеми.

Зв’яжіться з відділом продажів

CVE-2026-125350 є восьмою відомою вразливістю нульового дня Chrome, яка експлуатувалася в природних умовах у 2026 році, після CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 й CVE-2026-87491. Станом на 10 листопада SecurityWeek повідомляє, що CISA ще не додала нову виявлену вразливість у свій каталог відомих експлуатованих вразливостей.

Вразливості типу use-after-free виникають, коли програмне забезпечення продовжує посилатися на пам’ять після її вивільнення. Залежно від постраждалого коду й техніки експлуатації, така корупція пам’яті потенційно може призвести до аварійного завершення роботи браузера, пошкодження даних або виконання коду, контрольованого зловмисником. Google не розкрила точний вплив, досягнутий в спостережуваних атаках, тому захисники повинні уникати припущень, що вже існує документально представлений ланцюг повного компрометації системи.

Команди безпеки можуть використовувати платформу Ai-Native Detection Intelligence від SOC Prime для посилення покриття виявлення проти експлуатації браузера, підозрілих дочірніх процесів, виконання корисних навантажень і поведінки атакуючих у середовищах SIEM, EDR, XDR і Data Lake.

Визначте CVE-2026-125350, поєднуючи інвентаризацію версій браузера з телеметрією кінцевих точок і мереж, відстежуючи підозрілі процеси, запущені Chrome, аномальні аварійні завершення роботи браузера, несподівані завантаження корисних навантажень і поведінку після експлуатації, що виникає після відвідування потенційно шкідливих вебсайтів.

Вміст виявлення може бути недоступним для кожного CVE. Перевірте платформу SOC Prime для актуального покриття. Якщо відповідних виявлень ще немає, перевірте знову, оскільки нові розвідки загроз і вміст виявлення постійно додаються.

Аналіз CVE-2026-125350

CVE-2026-125350 впливає на вразливі версії Google Chrome, що містять стан use-after-free в XML-компоненті браузера. Google оцінює вразливість як високу за рівнем загрози, але не опублікувала оцінки CVSS чи вектора в своєму повідомленні від 9 листопада.

Помилка use-after-free виникає, коли пам’ять вивільняється, але програмне забезпечення пізніше намагається отримати доступ до тієї самої адреси пам’яті. Якщо зловмисник може вплинути на вміст, який згодом потрапляє в цю пам’ять, старе посилання потенційно може бути змінено з метою змінити поведінку програми.

У веббраузері вразливості безпеки пам’яті є особливо важливими, оскільки вміст, контрольований зловмисником, зазвичай обробляється складними компонентами браузера. Однак Google досі не розкрила точний об’єкт XML, залучений у цьому випадку, послідовність, необхідну для спрацювання баґу, або конкретний вебвміст, який використовувався зловмисниками.

Проблема в Chromium, пов’язана з вразливістю, наразі обмежена. Google зазвичай обмежує доступ до технічних подробиць баґів, поки більшість користувачів не отримає виправлення, а обмеження можуть залишатися довше, коли помилка також існує у програмному забезпеченні сторонніх виробників.

В результаті, кілька важливих технічних деталей залишаються невідомими. Доступні джерела не визначають, чи потребує експлуатація простого відвідування шкідливої сторінки, відкриття спеціально підготовленого XML-вмісту, взаємодії зі сторінкою чи іншого механізму доставки. Вони також не підтверджують, чи досягають зловмисники виконання коду в Chrome renderer, виходу з пісочниці браузера або поєднання вразливості з іншою помилкою.

Hacker News зазначає, що помилки типу use-after-free можуть потенційно призводити до пошкодження даних, аварійних завершень або виконання довільного коду. Це описує загальний вплив безпеки цього класу вразливостей, а не підтверджений Google опис точної експлуатаційної ланцюга, що використовується проти CVE-2026-125350.

Заява Google все-таки є важливою, оскільки компанія прямо підтверджує, що вразливість вже експлуатується в природних умовах. Це означає, що вразливість слід розглядати як пріоритет для негайного виправлення, навіть якщо технічна інформація про атаки залишається обмеженою.

Вразливість була анонімно повідомлена Google 6 листопада 2026 року. Лише через три дні, 9 листопада, Google випустила виправлені стабільні збірки для Windows, macOS і Linux і визнала активну експлуатацію.

Оновлення, що містить виправлення нульового дня, усуває загалом дев’ять проблем безпеки. Інші важливі вразливості включають проблему з неініціюваними ресурсами у WebGL, неправильну авторизацію у FileSystem, переповнення буфера у Compositing, запис за межі буфера у GPU, вразливість конфузії типів у V8 та ще одну проблему use-after-free у XML, відстежену як CVE-2026-125346. Патч було також застосовано до двох вразливостей середньої тяжкості у GPU.

Присутність CVE-2026-125346 у тому ж випуску варто відрізнити від активно експлуатованої вразливості. Обидві проблеми стосуються станів use-after-free у функціональності XML Chrome, але Google лише вказала, що CVE-2026-125350 експлуатується у природних умовах.

Google випустила наступні виправлені стабільні версії:

Користувачам Extended Stable на Windows і macOS слід перейти на версію 156.0.8078.96 або пізнішу.

Оскільки оновлення Chrome поширюються поступово, встановлений браузер може не відразу отримати виправлену версію. Отже, користувачам і адміністраторам варто перевірити фактичну працюючу збірку замість припущення, що автоматичні оновлення вже вирішили проблему.

Ситуація PoC CVE-2026-125350 також вимагає уваги. Google підтверджує, що зловмисники мають робочий експлойт, але жоден із Google або наданих звітів не ідентифікує публічно випущене підтвердження концепції, яке відтворює експлойт. Деталі баґу в Chromium залишаються обмеженими, що обмежує здатність захисників відтворити вразливість або ідентифікувати артефакти, специфічні для експлуатації.

Для виявлення CVE-2026-125350 організації повинні почати з управління експозицією. Команди безпеки повинні інвентаризувати версії Chrome на кінцевих точках і ідентифікувати системи, що працюють на збірках, старіших за виправлені версії. Сервери, що знаходяться під зоною дії інтернету, тут не є основною проблемою; робочі станції працівників та інші системи, що використовуються для перегляду вебсторінок, заслуговують на негайну увагу.

Телеметрія кінцевих точок може надати додаткові можливості для пошуку. Захисники повинні розслідувати незвичайні процеси, що виходять з Chrome, особливо інтерпретатори команд, скриптові движки, системні утиліти або новозавантажені виконувані файли, що з’являються одразу після діяльності у браузері.

Підозріла поведінка може включати несподіване виконання PowerShell, cmd.exe, Windows Script Host, mshta.exe, rundll32.exe або інших утиліт з дерева процесів, пов’язаних з Chrome. Така активність не є специфічною для цієї вразливості і не повинна сама по собі розглядатися як доказ експлуатації, але вона може дати корисний сигнал поведінки у поєднанні з вразливими версіями браузера та підозрілою активністю перегляду.

Команди безпеки повинні також досліджувати телеметрію кінцевих точок на предмет незвичайних аварійних закінчень роботи Chrome або збоїв рендерера, що передують новому виконанню процесів, створенню файлів, доступу до облікових даних, забезпеченню постійності або мережевим підключенням. Аварійні завершення роботи браузера самі по собі є поширеними і тому потребують кореляції з іншими доказами.

Вебпроксі, DNS, захищений веб-шлюз і телеметрія браузера кінцевих точок можуть допомогти відновити активність користувача безпосередньо перед підозрілим виконанням. Організації повинні зберігати відповідну історію перегляду та мережеві журнали, якщо підозрюється експлуатація, особливо тому, що Google не опублікувала інформацію про вебсайти чи інфраструктуру, яку використовували в спостережуваних атаках.

Наразі немає виданих постачальниками IOC для CVE-2026-125350, таких як шкідливі домени, IP-адреси, хеші корисних навантажень або інфраструктури зловмисників. Google також не розкрила, які актори загроз відповідальні, які організації постраждали, розмах кампанії чи географічну орієнтацію.

Відсутність статичних індикаторів робить надзвичайно важливим поведінковий моніторинг та швидке управління версіями браузера. Полювання, засноване виключно на хешах або відомих доменах, не може надійно визначити, чи піддавалося середовище експлуатації, коли публічна інфраструктура атак залишається невідомою.

Організації, які використовують браузери на базі Chromium, такі як Microsoft Edge, Brave, Opera і Vivaldi, повинні відслідковувати відповідні повідомлення від постачальників і застосовувати відповідні оновлення безпеки, як тільки вони стають доступними. Hacker News особливо рекомендує, щоб користувачі цих браузерів застосовували виправлення, коли їхні постачальники випускають їх.

Пом’якшення наслідків CVE-2026-125350

Основний спосіб усунення — це негайно оновити Google Chrome до виправленої версії і перезапустити браузер, щоб запустити кориговану збірку.

Google випустила:

• Chrome 157.0.8103.50/.51 для Windows
• Chrome 157.0.8103.50/.51 для macOS
• Chrome 157.0.8103.50 для Linux
• Chrome Extended Stable 156.0.8078.96 для Windows і macOS

Chrome зазвичай завантажує оновлення автоматично, але користувачам необхідно перезапустити браузер, щоб оновлена збірка замінила вразливий працюючий процес. Hacker News рекомендує відкрити Більше → Довідка → Про Google Chrome і перезапустити після встановлення оновлення.

Команди з безпеки підприємств повинні виконати наступні дії:

1. Інвентаризувати версії Chrome на керованих кінцевих точках.
2. Пріоритизувати системи, які все ще працюють на версіях, старіших за виправлені стабільні або розширені стабільні збірки.
3. Примусово або прискорити оновлення Chrome через інструменти управління браузером підприємства.
4. Перевірити, що браузери дійсно перезапустилися після отримання патчу.
5. Контролювати кінцеві точки, які не можуть бути негайно оновлені, на предмет підозрілих процесів, що походять із браузера.
6. Обмежити доступ до відомої шкідливої або нещодавно зареєстрованої вебінфраструктури через існуючі засоби веббезпеки.
7. Переглянути телеметрію безпеки для підозрілої активності Chrome, що відбулася перед розгортанням патчу.
8. Відстежувати повідомлення постачальників для браузерів на базі Chromium і оновлювати ці продукти, коли доступні виправлення.

Оскільки експлуатація вже мала місце в природних умовах, виправлення не повинно бути єдиною реакцією для систем, які могли бути піддані ризику. Адміністратори повинні розглянути можливість перегляду нещодавньої активності кінцевих точок на вразливих машинах, особливо там, де інструменти безпеки реєстрували незвичайні аварійні завершення роботи Chrome, виконання команд, породжених браузером, підозрілі завантаження або підключення до ненадійної інфраструктури.

Якщо виявлено підозрілу активність, ізолюйте постраждалу кінцеву точку і збережіть телеметрію браузера, EDR, DNS, проксі і мережі до ремедіації. Слідчі повинні відновити активність браузера, що передує події, і визначити, чи відбувалися якісь подальші навантаження, крадіжка облікових даних, забезпечення стійкості або бокове переміщення.

Організації також повинні перевірити, чи браузер працював під обліковим записом з доступом до конфіденційних вебсесій, корпоративних додатків, хмарних консолей або привілейованих облікових даних. Залежно від свідчень компрометації, скасування сесій та ротація облікових даних можуть бути доцільними.

Обмежене розкриття Google означає, що захисники наразі не мають достатньо публічної інформації для створення сигнатури для фактичного експлойту. Це підсилює важливість управління патчами та загального виявлення експлуатації, а не очікування на надійну мережеву або файлову сигнатуру.