Google исправила первую уязвимость нулевого дня в Chrome, которая использовалась в атаках в этом году
Компания Google выпустила экстренные обновления для устранения уязвимости Chrome высокой степени опасности, которая использовалась в атаках нулевого дня. Это первая подобная уязвимость, устраненная с начала года.
«Google известно о существовании эксплойта для CVE-2026-2441», — говорится в рекомендациях по безопасности, опубликованных в пятницу.
Согласно истории коммитов Chromium, эта уязвимость, связанная с использованием освобождённой памяти (о которой сообщил исследователь в области безопасности Шахин Фазим), возникает из-за ошибки с аннулированием итератора в CSSFontFeatureValuesMap — реализации значений функций CSS-шрифтов в Chrome. Успешная эксплуатация уязвимости может привести к сбою браузера, проблемам с рендерингом, повреждению данных и другим непредсказуемым последствиям.
В сообщении о коммите также отмечается, что патч CVE-2026-2441 решает «непосредственную проблему», но указывает на «остаточную работу», описанную в ошибке 483936078, что позволяет предположить, что это временное решение или что связанные с ним проблемы ещё предстоит решить.
Патч был помечен тегом cherry-picked (или backported) в нескольких коммитах, что указывает на его важность для включения в стабильную версию, а не для ожидания выхода следующей основной версии (вероятно, потому, что уязвимость активно используется).
Несмотря на то, что Google обнаружила свидетельства того, что злоумышленники использовали эту уязвимость нулевого дня, компания не поделилась дополнительной информацией об этих инцидентах.
«Доступ к информации об ошибке и ссылкам может быть ограничен до тех пор, пока большинство пользователей не получат обновление с исправлением. Мы также сохраним ограничения, если ошибка связана со сторонней библиотекой, от которой зависят и другие проекты, но которая еще не исправлена», — говорится в сообщении.
Google исправила первую уязвимость нулевого дня в Chrome, которая использовалась в атаках в этом году
Теперь Google устранила эту уязвимость для пользователей канала Stable Desktop. В ближайшие дни или недели новые версии будут доступны для пользователей Windows, macOS (145.0.7632.75/76) и Linux (144.0.7559.75) по всему миру.
Если вы не хотите обновлять браузер вручную, вы можете настроить Chrome на автоматическую проверку обновлений и их установку после следующего запуска.
Несмотря на то, что это первая активно используемая уязвимость в системе безопасности Chrome, исправленная с начала 2026 года, в прошлом году Google устранила в общей сложности восемь уязвимостей нулевого дня, многие из которых были обнаружены Группой анализа угроз (TAG), широко известной тем, что она отслеживает и выявляет уязвимости нулевого дня, используемые в атаках с использованием шпионских программ, нацеленных на людей из групп риска.
Редактор: AndreyEx
