Google не успела закончить развёртывание исправления для шестого zero-day Chrome, как браузеру понадобилась новая срочная защита. Всего через пять дней компания закрыла ещё одну уязвимость V8, которую злоумышленники уже успели применить в реальных атаках.
Новая проблема получила идентификатор CVE-2026-87491 и средний уровень опасности. Уязвимость связана с записью за пределами выделенной области памяти в V8, движке Chrome для выполнения JavaScript и WebAssembly. Специально подготовленная HTML-страница позволяет удалённому атакующему добиться выполнения произвольного кода внутри песочницы браузера.
Запись за пределами памяти возникает, когда программа помещает данные туда, куда текущий объект или массив уже не должен иметь доступа. Подобные ошибки способны повреждать соседние структуры памяти и менять ход выполнения программы. Сам по себе обнаруженный сценарий остаётся внутри песочницы Chrome, поэтому для полного захвата системы злоумышленнику может потребоваться ещё одна уязвимость для выхода из изолированной среды.
Проблему 6 августа обнаружила Jihyeon Jeong из Compsec Lab Сеульского национального университета. Google назначила вознаграждение в размере $2500. Компания не раскрывает сведения о целях атак, масштабе кампании и устройстве эксплойта, пока исправленная версия браузера не установлена у большинства пользователей.
Защиту получили Chrome 153.0.8010.36 и 153.0.8010.37 для Windows и macOS, а также 153.0.8010.36 для Linux. Версия 153.0.8010.36 вышла и для Android с теми же исправлениями безопасности. Крупный релиз Chrome 153 в общей сложности содержит 230 исправлений, включая несколько критических ошибок в WebGL и других компонентах.
Google прямо подтвердила существование рабочего эксплойта в обновлении Chrome 153. Пользователям стоит проверить версию через раздел «О браузере Chrome» и перезапустить программу после установки новой сборки. Владельцам других браузеров на Chromium также следует следить за выходом соответствующих исправлений.
Предыдущий тревожный сигнал появился буквально несколькими днями раньше. В начале сентября Google закрыла шестой zero-day Chrome, связанный с CVE-2026-85046. Та ошибка тоже находилась в V8 и уже применялась против пользователей.
В июне V8 оказался в центре ещё одной реальной атаки. Уязвимость позволяла выйти за границы памяти и получила оценку 8.8 по шкале CVSS 3.0, а за её обнаружение автору выплатили $55 тыс.
Проблемы V8 не ограничиваются активно эксплуатируемыми zero-day. Летом специалисты разобрали другой сбой движка, при котором Chrome мог довериться вредоносным инструкциям из-за ошибки при обработке низкоуровневого кода.
