"Google" kiberhücumlarda istismar edilən yeni "Chrome" sıfırıncı gün zəifliyi barədə xəbərdarlıq edib

"Google" şirkəti çərşənbə axşamı 230 təhlükəsizlik boşluğunu, o cümlədən aktiv şəkildə istismar edilən yeni bir "Chrome" sıfırıncı gün (zero-day) zəifliyini aradan qaldırıb. Bu, ilin əvvəlindən bəri yamaqlanan sayca yeddinci belə zəiflikdir.
Seul Milli Universitetinin "Compsec Lab" tədqiqat mərkəzinin təcrübəçisi Jihyeon Jeong tərəfindən məlumat verildikdən iki gün sonra "Google" "Stable Desktop" kanalı vasitəsilə "Windows" (153.0.8010.36), "Mac" (153.0.8010.37) və "Linux" (153.0.8010.36) sistemləri üçün yamaqlanmış versiyaları təqdim etməyə başlayıb. "Google" təhlükəsizlik yenilənməsinin bütün "Chrome" istifadəçilərinə çatmasının günlər və ya həftələr çəkə biləcəyini bildirsə də yenilənmələr artıq əllə yoxlanış zamanı əlçatandır. Sistemi əllə yeniləmək istəməyən istifadəçilər "Chrome"un növbəti dəfə işə salınma zamanı yenilənmələri avtomatik yoxlayıb quraşdırmasına imkan yarada bilərlər.
Yüksək risk dərəcəsinə malik bu sıfırıncı gün zəifliyi (CVE-2026-87491) "Chrome"un "V8 JavaScript" və "WebAssembly" mühərrikindəki "out-of-bounds write" (sərhəddən kənar yazma) xətası ilə əlaqədardır. Uzaqdan hücum edən şəxslər xüsusi hazırlanmış HTML səhifələri vasitəsilə veb-brauzerin "qum qutusu" (sandbox) mühiti daxilində ixtiyari kod icra etmək (arbitrary code execution) üçün bu zəiflikdən istifadə edə bilərlər.
Zəifliyin uğurlu istismarı yaddaşın zədələnməsi (heap corruption) vasitəsilə yaddaş buferindən kənardakı məlumatlara giriş əldə edilməsinə, nəticədə həssas informasiyaların sızmasına və ya brauzerin çökməsinə (crash) səbəb ola bilər.
"Google" CVE-2026-87491 zəifliyinin kiberhücumlarda istifadə edildiyini təsdiqləsə də, hücumlarla bağlı əlavə detalları hələ ki açıqlamayıb. Şirkət bildirib: “İstifadəçilərin əksəriyyəti yamaqla yenilənənə qədər zəiflik detallarına və keçidlərə giriş məhdudlaşdırıla bilər. Zəiflik digər layihələrin də asılı olduğu, lakin hələ yamaqlanmamış üçüncü tərəf kitabxanasında mövcud olarsa, bu məhdudiyyətləri qüvvədə saxlayacağıq.”

Qeyd edək ki, ilin əvvəlindən bəri "Google" aktiv şəkildə istismar edilən daha beş sıfırıncı gün zəifliyini aradan qaldırıb:
- Fevral ayının ortalarında "CSSFontFeatureValuesMap"-də ("Chrome"un CSS şrift xüsusiyyətləri dəyərlərinin implementasiyası) qeydə alınan "iterator invalidation" xətası (CVE-2026-2441).
- Mart ayında kiberhücumlarda istismar edilən iki zəiflik: "Skia 2D" qrafik kitabxanasında "out-of-bounds write" xətası (CVE-2026-3909) və "V8 JavaScript" və "WebAssembly" mühərrikində uyğunsuz implementasiya zəifliyi (CVE-2026-3910).
- ⁠Aprel ayında yamaqlanan və "Chromium" layihəsi tərəfindən istifadə edilən "WebGPU" standartının kross-platforma implementasiyası olan "Dawn"-da "use-after-free" zəifliyi (CVE-2026-5281).
- ⁠Bu ayın əvvəlində "V8" mühərrikində aradan qaldırılan növ qarışıqlığı (type confusion) zəifliyi (CVE-2026-85046).

"Google" 2025-ci ildə real mühitdə istismar edilən səkkiz digər sıfırıncı gün zəifliyini də aradan qaldırmışdı. Onların əksəriyyəti casus proqram hücumlarında istifadə olunan istismarları izləməklə tanınan Təhdidlərin Təhlili Qrupu (TAG) tərəfindən aşkarlanmışdı.

Kompüter İnsidentlərinə Qarşı Mübarizə Mərkəzi tərəfindən istifadəçilərə yuxarıda sadalanan kiber təhdidlərdən qorunmaq və potensial risklərin qarşısını almaq məqsədilə "Google Chrome" brauzerini dərhal ən son versiyaya (Windows və Linux üçün 153.0.8010.36, Mac üçün 153.0.8010.37) yeniləmək və avtomatik yenilənmə funksiyasının aktiv olduğundan əmin olmaq tövsiyə olunur.