Chrome V8 Zero-Day ранливост експлоатирана во реални напади овозможува извршување код во sandbox околина

Објавено: 09.09.2026

Google во четвртокот објави ажурирања со кои се поправаат 230 безбедносни ранливости, вклучително и една која активно се експлоатира во реални напади.

Ранливоста со средно ниво на сериозност, на која ѝ е доделен CVE идентификаторот CVE-2026-87491 (CVSS оценка: не е достапна), е опишана како грешка од типот „out-of-bounds“ во V8 — JavaScript и WebAssembly енџинот на Chrome.

„Запишување надвор од дозволените граници (out-of-bounds write) во V8 во Google Chrome пред верзијата 153.0.8010.36 му овозможувало на далечински напаѓач да изврши произволен код во sandbox околината преку специјално креирана HTML-страница“, стои во описот на ранливоста во Националната база на податоци за ранливости (NVD) на NIST.

Безбедносниот истражувач Jihyeon Jeong од Compsec Lab при Националниот универзитет во Сеул е заслужен за откривањето и пријавувањето на ранливоста на 6 август 2026 година. Истражувачот добил награда од 2.500 долари како bug bounty за одговорно пријавување на ранливоста.

Google потврди дека е „свесен дека експлоат за CVE-2026-87491 постои во реални напади“, но не објави дополнителни конкретни информации за тоа како ранливоста се злоупотребува во реални напади или кој стои зад нив.

„Пристапот до деталите за грешката и линковите може да остане ограничен сè додека поголемиот дел од корисниците не го инсталираат ажурирањето што го содржи решението“, додаде технолошкиот гигант. „Ќе ги задржиме ограничувањата и доколку грешката постои во библиотека од трета страна од која зависат и други проекти, но сè уште не е поправена.“

Со ова најново ажурирање, Google поправи вкупно седум Chrome zero-day ранливости кои активно биле експлоатирани од почетокот на годината. Во нив спаѓаат CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645 и CVE-2026-85046.

Покрај CVE-2026-87491, најновото ажурирање поправа и пет критични безбедносни ранливости во компонентите WebGL и Cast:

CVE-2026-87464 – Use-after-free во WebGL
CVE-2026-87488 – Use-after-free во WebGL
CVE-2026-87438 – Запишување надвор од дозволените граници (out-of-bounds write) во WebGL
CVE-2026-87527 – Преполнување на баферот (buffer overflow) во WebGL
CVE-2026-87628 – Use-after-free во Cast

Google соопшти дека пријавил 195 од вкупно 230 ранливости што се поправени со ова ажурирање. Една ранливост со високо ниво на сериозност од типот use-after-free во WebPackaging (CVE-2026-87639) му е припишана на OpenAI Codex Security.

„Многу од нашите безбедносни грешки се откриваат со користење на AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer или AFL“, додаде компанијата.

За оптимална заштита, на корисниците им се препорачува да го ажурираат Chrome прелистувачот на верзиите 153.0.8010.36/.37 за Windows и Apple macOS, и 153.0.8010.36 за Linux.

За да се осигурате дека се инсталирани најновите ажурирања, одете на More > Help > About Google Chrome и изберете Relaunch.

На корисниците на други прелистувачи базирани на Chromium, како што се Microsoft Edge, Brave, Opera и Vivaldi, исто така им се препорачува да ги применат поправките штом тие станат достапни.

Извори:

The Hacker News – Chrome V8 Zero-Day Exploited in the Wild Enables Code Execution Inside Sandbox The Hacker News