گوگل کروم به‌روزرسانی امنیتی منتشر کرد؛ یک آسیب‌پذیری در حال بهره‌برداری است
گوگل در تاریخ ۹ نوامبر (۱۸ آبان) به‌روزرسانی پایداری مرورگر کروم برای دسکتاپ را منتشر کرد که ۹ حفره امنیتی را برطرف می‌کند. یکی از این حفره‌ها، با شناسه CVE-2026-125350 در کامپوننت XML، مورد سوءاستفاده فعال قرار گرفته است.
گوگل در اطلاعیه‌ای اعلام کرد که از وجود کدهای بهره‌برداری برای این آسیب‌پذیری در محیط واقعی (in the wild) آگاه است. این اطلاعیه در ساعت ۱۲:۵۲ بعدازظهر به وقت اقیانوس آرام در روز ۹ نوامبر منتشر شد که معادل ۴:۵۲ صبح روز ۱۰ نوامبر به وقت تایوان است.
این به‌روزرسانی، نسخه‌های ویندوز و مک را به 157.0.8103.50/.51 و نسخه لینوکس را به 157.0.8103.50 ارتقا می‌دهد. گوگل اعلام کرده است که نسخه جدید طی چند روز تا چند هفته آینده به صورت مرحله‌ای منتشر خواهد شد و زمان دریافت به‌روزرسانی برای کاربران متفاوت خواهد بود.
گوگل همچنین در همان روز نسخه اندروید کروم را به 157.0.8103.50 منتشر کرد که انتظار می‌رود طی چند روز آینده در فروشگاه Google Play در دسترس قرار گیرد. در این اطلاعیه ذکر شده است که مگر در موارد استثنا، اصلاحات امنیتی نسخه اندروید مشابه نسخه دسکتاپ خواهد بود.
جزئیات آسیب‌پذیری CVE-2026-125350
آسیب‌پذیری CVE-2026-125350 از نوع “استفاده پس از آزادسازی” (use-after-free) در کامپوننت XML است. این نوع خطا زمانی رخ می‌دهد که برنامه پس از آزادسازی یک بخش از حافظه، همچنان به استفاده از آن ادامه می‌دهد. گوگل این آسیب‌پذیری را “پرخطر” (High) ارزیابی کرده و گزارش‌دهنده آن که هویتش فاش نشده، در تاریخ ۶ نوامبر آن را گزارش داده است. با توجه به تاریخ انتشار اصلاحیه در ۹ نوامبر، فاصله بین گزارش و انتشار وصله امنیتی تنها ۳ روز بوده است.
گوگل جزئیات مربوط به نحوه حمله و دامنه قربانیان را منتشر نکرده و هویت مهاجمان نیز مشخص نیست. در این اطلاعیه آمده است که جزئیات و لینک‌های مربوط به این آسیب‌پذیری ممکن است تا زمانی که اکثر کاربران به‌روزرسانی را نصب کنند، محدود باقی بماند. همچنین اگر این آسیب‌پذیری در کتابخانه‌های شخص ثالثی که توسط پروژه‌های دیگر نیز استفاده می‌شوند و هنوز اصلاح نشده‌اند، وجود داشته باشد، این محدودیت‌ها ادامه خواهد یافت.
دسته‌بندی آسیب‌پذیری‌ها
از مجموع ۹ آسیب‌پذیری، ۷ مورد پرخطر و ۲ مورد متوسط طبقه‌بندی شده‌اند. آسیب‌پذیری CVE-2026-125346 که آن نیز در کامپوننت XML قرار دارد، از نوع استفاده پس از آزادسازی است و توسط Arni Hardarson از Neonix Security در تاریخ ۱۲ اکتبر گزارش شده بود. از میان دو آسیب‌پذیری XML، گوگل تنها CVE-2026-125350 را به عنوان مورد بهره‌برداری شده علامت‌گذاری کرده است.
پنج آسیب‌پذیری پرخطر دیگر توسط خود گوگل گزارش شده‌اند، از جمله: منابع اولیه نشده WebGL، مجوز نادرست FileSystem، سرریز بافر Compositing، نوشتن خارج از محدوده GPU و سردرگمی نوع (type confusion) در V8. سرریز بافر زمانی رخ می‌دهد که داده‌های نوشته شده از فضای اختصاص یافته فراتر رود و نوشتن خارج از محدوده به معنای نوشتن در حافظه‌ای خارج از دامنه تخصیص یافته است. V8 موتور اجرای جاوا اسکریپت در کروم است.
دو آسیب‌پذیری با خطر متوسط مربوط به منابع اولیه نشده GPU هستند که یکی توسط گوگل و دیگری توسط محقق امنیتی Vo Duc Thang (ugvxb) گزارش شده است. در بخش جوایز مربوط به ۹ آسیب‌پذیری در اطلاعیه، همگی با برچسب N/A (ناکارآمد) یا TBD (در انتظار تعیین) مشخص شده‌اند و مبلغی اعلام نشده است.
به‌روزرسانی نسخه پایدار طولانی‌مدت (Extended Stable)
نسخه‌های پایدار طولانی‌مدت ویندوز و مک نیز در همان روز به نسخه 156.0.8078.96 به‌روزرسانی شدند. این به‌روزرسانی ۱۱ حفره امنیتی را برطرف کرده است که ۱۰ مورد از آن‌ها پرخطر و ۱ مورد متوسط هستند. CVE-2026-125350 نیز در این لیست قرار دارد.
هشدار امنیتی در هنگ کنگ
مرکز هماهنگی حوادث امنیتی کامپیوتر دولت هنگ کنگ (GovCERT.HK) در تاریخ ۱۰ نوامبر (۱۹ آبان) هشدار امنیتی صادر کرد. این هشدار بیان می‌کند که نسخه‌های قبل از Chrome 157.0.8103.50 تحت تأثیر این آسیب‌پذیری‌ها قرار دارند. بهره‌برداری موفقیت‌آمیز از این حفره‌ها می‌تواند منجر به اجرای کد از راه دور، حملات منع سرویس (DoS)، دستکاری یا دور زدن محدودیت‌های امنیتی شود.
GovCERT.HK به کاربران توصیه کرده است که از طریق به‌روزرسانی خودکار یا به‌صورت دستی از صفحه “About Google Chrome” مرورگر خود را به‌روزرسانی کنند و یادآوری کرده است که برای اعمال به‌روزرسانی، نیاز به راه‌اندازی مجدد کروم است. مرکز امنیت کامپیوتر هنگ کنگ (HKCERT) نیز در همان روز این مجموعه آسیب‌پذیری‌ها را “خطر بسیار بالا” ارزیابی کرده است، با این استدلال که CVE-2026-125350 به طور گسترده مورد بهره‌برداری قرار می‌گیرد.
تا زمان انتشار این خبر، پایگاه داده ملی آسیب‌پذیری آمریکا (NVD) و CVE.org هنوز سوابق عمومی برای این شماره شناسایی ندارند. همچنین، فهرست آسیب‌پذیری‌های شناخته شده در حال بهره‌برداری (KEV) آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) نیز هنوز این مورد را ثبت نکرده است.
نسخه‌های کروم که CVE-2026-125350 را برطرف می‌کنند:
نسخه‌های منتشر شده توسط گوگل در ۹ نوامبر عبارتند از: ویندوز و مک 157.0.8103.50/.51، لینوکس و اندروید 157.0.8103.50، و نسخه پایدار طولانی‌مدت 156.0.8078.96.
آسیب‌پذیری CVE-2026-125350 چیست:
این یک آسیب‌پذیری استفاده پس از آزادسازی در کامپوننت XML کروم است که در آن برنامه از حافظه آزادسازی شده استفاده می‌کند. این آسیب‌پذیری در ۶ نوامبر توسط یک محقق ناشناس گزارش شده، توسط گوگل پرخطر ارزیابی شده و اعلام شده است که مورد بهره‌برداری فعال قرار گرفته است.
