невзлом

К сведению · Google Chrome

Chrome 157 Stable — 213 security fixes, target 157.0.8103.38/.39

· CVE-2026-121156, CVE-2026-121229, CVE-2026-121246, CVE-2026-121035, CVE-2026-121247, CVE-2026-121203, CVE-2026-121126

← Простая версия для всех

Суть

Регулярный Stable: Chrome 157 для Windows / Mac / Linux. 213 security fixes (Google). 7 Critical (UAF / buffer overflow / memory corruption в Dawn, ANGLE, WebGL, Prerender, Geometry, Core): типично удалённо через содержимое страницы (нужно открыть страницу/контент); при Critical — выполнение кода в контексте браузера; полный захват ОС не утверждать. Эксплуатация in the wild в посте Google не заявлена; CISA KEV по этому пакету — нет. Метка — info (сайт); в TG-слот не претендует, пока есть 🔴/🟠.

Затронуто и исправлено

КаналМинимум
Linux Stable157.0.8103.38
Windows / Mac Stable157.0.8103.38 или .39

Всё ниже таблицы на Desktop Stable — обновить. Android/iOS WebView — не этот пост (отдельные каналы релизов).

Critical CVE (Google): CVE-2026-121156, CVE-2026-121229, CVE-2026-121246, CVE-2026-121035, CVE-2026-121247, CVE-2026-121203, CVE-2026-121126.

Эксплуатация

  • Google: список Severity + bug credits; нет строки «exploited in the wild».
  • KEV — нет (на момент отбора 05.11.2026).
  • Детали багов Google может держать restricted до массового обновления — не искать и не ссылать write-up/PoC.

Как проверить

# UI (предпочтительно на любой ОС)
chrome://version
# или: ⋮ → Справка → О браузере Google Chrome

# Linux: бинарь Google Chrome (не Chromium/snap с другим именем)
google-chrome --version
# или: google-chrome-stable --version
# нужно ≥ 157.0.8103.38; команда не найдена — смотреть chrome://version / пакет организации

Сравнение: 156.x < 157.0.8103.38; на Win/Mac допустим .39.

MDM/inventory: поле версии браузера; флаг «ниже 157.0.8103.38». Учесть поэтапную раскатку Google.

Как исправить

  1. Интерактивно: «О браузере» → Update → Relaunch. На Desktop Stable автообновление по умолчанию включено.
  2. Парк: AD/Intune/GPO — разрешить обновление Stable 157; снять TargetVersionPrefix / pin на 156.x; на Windows проверить, что Google Update не отключён; на Linux — нет apt-mark hold / pin пакета.
  3. Linux: репозиторий Google Chrome / пакетный менеджер организации → 157.0.8103.38+ (отличать google-chrome от Chromium/snap при инвентаризации).
  4. Критерий закрытия — фактическая версия ≥ таблицы, не «политика обновлений включена».

Если обновить нельзя

Официального workaround в Stable-посте нет. Compensating: изоляция браузинга, запрет рискованных URL на старых хостах, план окна обновления. Неофициальные сборки — нет.

Признаки взлома и что делать

IoC по пакету Google не публиковала. При инциденте профиля: ротация сессий/паролей, аудит расширений, новый профиль при необходимости — одного обновления мало, если уже был компромисс.

Источники

  • Google Chrome Releases: «Stable Channel Update for Desktop», 03.11.2026 — без URL в публикации (со страницы бюллетеня один переход ведёт к issues.chromium.org с публичными Steps to reproduce / PoC). Факты сверены по копии ленты и открытому бюллетеню в редакции.
  • Реестры NVD/CVE.org — номерами Critical выше, без URL.