Google, Chrome'da saldırılarda kullanılan bu yılki sekizinci sıfırıncı gün açığını yamaladı

Google, saldırılarda kullanılan yeni bir Chrome açığını kapatmak için acil güvenlik güncellemeleri yayımladı. BleepingComputer'ın aktardığına göre bu, yılbaşından bu yana Chrome'da aktif olarak istismar edilen sekizinci sıfırıncı gün açığı.

Google pazartesi yayımladığı güvenlik bülteninde, "Google, CVE-2026-125350 için bir istismarın aktif olarak kullanıldığının farkında" dedi.

XML ayrıştırıcısında bellek hatası

Google'ın açıklamasına göre açık, Chrome'un XML bileşenindeki "serbest bırakıldıktan sonra kullanım" (use-after-free) türünde bir zaaftan kaynaklanıyor. Hata, tarayıcının XML ayrıştırıcısı veriyi işlerken bir nesneyi bellekten silip o nesneyi gösteren işaretçiyi temizlemediğinde ortaya çıkıyor.

Yüksek önem derecesine sahip bu bellek bozulması açığından, tarayıcı daha sonra serbest bırakılan bellek alanını kullanmaya ya da okumaya çalıştığında yararlanılabiliyor. Saldırganlar bu sayede bellek düzenini manipüle edip kötü amaçlı kod çalıştırabiliyor.

Google, saldırganların bu açığı gerçek saldırılarda kullandığına dair kanıt bulduğunu belirtti, ancak saldırılarla ilgili ayrıntı paylaşmadı. Şirket, kullanıcıların çoğu güncellenene kadar hata ayrıntılarına erişimin kısıtlı tutulabileceğini söyledi.

Güncelleme nasıl yapılır?

Google açığı, Windows ve macOS için 157.0.8103.50/.51, Linux için 157.0.8103.50 sürümleriyle Kararlı Masaüstü kanalında kapattı. Google, güncellemenin tüm kullanıcılara ulaşmasının günler ya da haftalar sürebileceğini söylese de BleepingComputer güncellemenin hemen indirilebildiğini doğruladı. Kullanıcılar Chrome menüsünden Yardım > Google Chrome Hakkında bölümüne giderek güncellemeyi elle başlatabiliyor. Chrome ayrıca güncellemeleri kendiliğinden denetleyip bir sonraki açılışta otomatik olarak yüklüyor.

Bu yılın sekizinci açığı

Google bu yıl daha önce yedi aktif istismar edilen sıfırıncı gün açığını daha kapatmıştı. Bunlar arasında şubatta CSS yazı tipi özelliklerinde, martta Skia grafik kütüphanesinde ve V8 JavaScript motorunda, nisanda WebGPU uygulaması Dawn'da, haziranda ve eylülde yine V8 motorunda bulunan açıklar yer alıyor. Google 2025'te de saldırılarda kullanılan sekiz sıfırıncı gün açığını kapatmıştı.