Chrome 148 יצאה עם 126 תיקוני אבטחה, ושלושה מהם קריטיים

ב-5 במאי 2026 העלתה Google את Chrome 148 לערוץ היציב. הגרסה כוללת 126 תיקוני אבטחה, ושלושה מהם בדרגה קריטית. הגרסה היא 148.0.7778.96 ב-Linux, ו-148.0.7778.96/97 ב-Windows וב-Mac. ההפצה נמשכת ימים עד שבועות. בהודעה של Google אין אזכור לניצול בפועל.

אילו חולשות סוגרת Chrome 148

הליקוי הקריטי הראשון, CVE-2026-7896, הוא גלישת מספרים שלמים ב-Blink, מנוע התצוגה של הדפדפן. חוקר שלא זוהה בשמו דיווח עליו ב-18 במרץ, וקיבל 43,000 דולר. שני הקריטיים האחרים הם שימוש אחרי שחרור (use after free) ברכיב Mobile וברכיב Chromoting. Google עצמה דיווחה עליהם באפריל, ולכן אין להם פרס.

בין 31 הליקויים בחומרה גבוהה בולט CVE-2026-7899, קריאה וכתיבה מחוץ לגבולות ב-V8, מנוע ה-JavaScript של Chrome. זה הפרס הגדול ביותר שנקבע בהודעה, 55,000 דולר. בסך הכול נקבעו בהודעה פרסים של 138,000 דולר לחמש חולשות. עבור 20 ליקויים נוספים הפרס עדיין לא נקבע.

הליקויים מתפזרים בין רכיבים רבים. לרכיב DevTools יש הכי הרבה תיקונים, תשעה. אחריו GPU עם שישה, ו-ANGLE, Media ו-WebRTC עם חמישה כל אחד. רכיבי הגרפיקה כוללים גם את Skia ואת Dawn.

רוב הליקויים נחשפו בבדיקות פנימיות. לפי הרשימה בהודעה, כ-100 מתוך 126 דווחו על ידי Google עצמה. היא מזכירה שרבים מהבאגים מזוהים בכלי בדיקה אוטומטיים, כמו AddressSanitizer ו-libFuzzer.

בנוסף, 33 מתוך 125 הליקויים הרשומים הם שימוש אחרי שחרור. זה סוג תקלה בזיכרון שחוזר שוב ושוב בדפדפנים. היא קורית כשהתוכנה ממשיכה להשתמש באזור זיכרון שכבר שוחרר. תוקף יכול לנסות לשלוט בתוכן שנכנס לשם ולהריץ קוד.

למה כדאי לעדכן את Chrome 148 גם בלי ניצול ידוע

Google מציינת שפרטי הבאגים עשויים להישאר חסויים עד שרוב המשתמשים יעדכנו. הסיבה ברורה. ברגע שהפרטים מתפרסמים, תוקפים יכולים לנסות לנצל את הליקוי נגד מי שלא עדכן. לכן כדאי להתקין את העדכון מיד, ולא לחכות לדיווח על ניצול. ההפצה נמשכת ימים עד שבועות, ויכול להיות שהעדכון עוד לא הגיע אליכם. בדיקה ידנית מזרזת אותו.

דפדפנים אחרים על בסיס Chromium, כמו Edge ו-Brave, מקבלים בדרך כלל תיקונים כאלה בעדכונים משלהם. מי שמשתמש בכמה דפדפנים צריך לבדוק כל אחד מהם. בארגון, כדאי לבדוק מרכזית איזו גרסה מותקנת במחשבים.

מה קרה מאז: ב-27 במאי פרסמה Google עדכון נוסף לענף 148, גרסה 148.0.7778.216/217 ב-Windows. הוא כולל 151 תיקוני אבטחה: 22 קריטיים, 123 בחומרה גבוהה ו-6 בינוניים. 17 מהקריטיים דווחו על ידי Google עצמה. בין הקריטיים: כתיבה מחוץ לגבולות ב-GPU ושימוש אחרי שחרור ב-Network. חוקר אחד דיווח על שניהם וקיבל 43,000 דולר על כל אחד. ב-29 במאי התחילה Google להפיץ את Chrome 149 לאחוז קטן מהמשתמשים, בגרסה 149.0.7827.53/54.

עוד ב-GEEKLIK: Google: Chrome 149 ו-150 תיקנו 1,072 באגי אבטחה, מעל כל 23 הגרסאות שלפניהן