Google שחררה עדכון אבטחה ל-Chrome שמתקן את CVE-2026-125350, חולשה ברכיב ה-XML של הדפדפן. לדברי Google, קיים לחולשה ניצול פעיל בשטח. זו חולשת ה-Zero-Day השמינית ב-Chrome מתחילת 2026 שמנוצלת בפועל.

מה ידוע

  • סוג החולשה: Use-after-free בדרגת חומרה גבוהה (CVSS 8.8). דף HTML שהוכן במיוחד יכול לאפשר לתוקף להריץ קוד בתוך ה-sandbox של הדפדפן.
  • מי גילה: חוקר אנונימי, שדיווח ל-Google ב-6 בנובמבר.
  • מי מנצל: Google לא פרסמה פרטים על המתקפות או על התוקפים.
  • CISA הוסיפה את החולשה לרשימת החולשות המנוצלות, עם מועד יעד לעדכון ב-24 בנובמבר.

מה עושים

  • מעדכנים את Chrome לגרסה 157.0.8103.50 ומעלה (‎.51 ב-Windows וב-Mac). אפשר לבדוק בתפריט ← עזרה ← מידע על Google Chrome, ולהפעיל מחדש את הדפדפן.
  • גם דפדפנים אחרים שמבוססים על Chromium, כמו Edge, Brave ו-Opera, צפויים לקבל תיקון. כדאי לעדכן אותם כשיוצא העדכון.
  • בארגון: לוודא שמדיניות העדכון האוטומטי של הדפדפן פעילה בכל העמדות.

מקורות