Chrome 152 סוגר פרצת יום אפס שישית ב-2026, והיא כבר מנוצלת בתקיפות

Google שחררה ב-3 בספטמבר עדכון אבטחה ל-Chrome 152 שסוגר 12 חולשות. אחת מהן כבר בשימוש של תוקפים. זו CVE-2026-85046, חולשה במנוע V8 ש-Google מאשרת שקיים לה ניצול פעיל. היא פרצת יום האפס השישית ב-Chrome מתחילת השנה.

הגרסאות המתוקנות הן 152.0.7977.82 ו-152.0.7977.83 ל-Windows ול-Mac, ו-152.0.7977.82 ל-Linux.

Chrome 152 סוגר בלבול טיפוסים במנוע שמריץ כל אתר שאתם פותחים

V8 הוא המנוע שמריץ את קוד ה-JavaScript וה-WebAssembly בכל דף שנטען בדפדפן. החולשה שייכת למשפחה שנקראת type confusion, או בלבול טיפוסים. המנוע מתייחס לאובייקט בזיכרון כאילו הוא מסוג אחר ממה שהוא באמת.

לפי SecurityWeek, באגים כאלה ב-V8 יכולים לאפשר קריאה וכתיבה בזיכרון באמצעות דף HTML שנבנה במיוחד. משם הדרך לקריסה או להרצת קוד קצרה. בפועל, מספיק לגלוש לדף זדוני, או לאתר לגיטימי שהחדירו אליו קוד. אין צורך להוריד קבצים או ללחוץ על כלום.

Google לא פרסמה פרטים על התקיפות, על מי שעומד מאחוריהן או על המטרות. זה נוהג קבוע אצלה: פרטי הבאג נשארים חסויים עד שרוב המשתמשים מקבלים את התיקון.

לפי הודעת השחרור, החוקר Salvatore Gulizia דיווח על החולשה ב-4 באוגוסט. הוא קיבל פרס של 1,000 דולר. כלומר, עבר כחודש בין הדיווח לתיקון. בשלב כלשהו בתקופה הזו מישהו כבר השתמש בה.

עוד 11 תיקונים ב-Chrome 152, ושש פרצות יום אפס מתחילת השנה

העדכון כולל 11 חולשות נוספות, תשע בדרגת חומרה גבוהה ושתיים בינונית. ביניהן חולשת race condition נוספת ב-V8. יש גם כמה חולשות use-after-free (שימוש בזיכרון שכבר שוחרר) ברכיבים כמו DevTools ו-Skia. יש גם כתיבה מחוץ לגבולות הזיכרון ב-WebGL.

את רוב החולשות מצאו צוותי Google עצמם. Brendan Dolan-Gavitt מחברת XBOW דיווח על אחת מחולשות ה-V8. XBOW מפתחת כלי בדיקות חדירה מבוססי AI.

לפי הספירה של SecurityWeek, זו פרצת יום האפס השישית שתוקנה ב-Chrome ב-2026. לפניה Google סגרה את CVE-2026-2441, את הצמד CVE-2026-3909 ו-CVE-2026-3910, את CVE-2026-5281 ואת CVE-2026-11645.

פרצת יום אפס (zero-day) היא חולשה שתוקפים מנצלים לפני שיש לה תיקון. המונח חל גם כשהתיקון קיים, אבל רוב המשתמשים עוד לא התקינו אותו. הקצב הזה מזכיר שהדפדפן הוא אחת מנקודות הכניסה המרכזיות לארגון. זה הכלי שכל עובד פותח בבוקר. פרצה אחת בו יכולה להוביל מהמחשב של עובד אחד אל כל הרשת.

לא רק Chrome: גם Edge, Brave ו-Opera תלויים באותו קוד

V8 הוא חלק מ-Chromium, קוד הבסיס הפתוח שעליו בנויים גם Microsoft Edge, Brave, Opera ו-Vivaldi. לפי חברת המודיעין HivePro, הקוד הפגיע משותף לכל הדפדפנים האלה. העדכון של Google לא מתקן אותם. כל יצרן צריך לשלב את התיקון ולשחרר גרסה משלו.

בארגונים רבים Edge הוא דפדפן ברירת המחדל במחשבי Windows. לכן לא מספיק לבדוק רק את Chrome.

עוד נקודה שכדאי להכיר: Chrome מוריד עדכונים לבד. אבל התיקון נכנס לתוקף רק אחרי הפעלה מחדש של הדפדפן. מי שמשאיר עשרות לשוניות פתוחות במשך שבועות ממשיך לגלוש עם הגרסה הפגיעה. זה קורה גם אם העדכון כבר ירד למחשב.

בנוסף, Google כתבה שהגרסה תתפזר במהלך הימים והשבועות הבאים. כך לא כל מחשב מקבל אותה באותו רגע.

המקור המלא: הדיווח ב-Google Chrome Releases.

עוד ב-GEEKLIK: Chrome 153 סוגרת פרצת יום-אפס מנוצלת, ו-Google עוברת לגרסה חדשה כל שבועיים

מה הלאה

Google לא מסרה פרטים על הקמפיין שבו תוקפים ניצלו את החולשה. לכן אין דרך לדעת אם הוא ממוקד בקבוצה קטנה או רחב. הניסיון מלמד שפרצות כאלה מתחילות לעתים קרובות בתקיפות ממוקדות ומתפשטות כשהפרטים הטכניים נחשפים.

שש פרצות יום אפס עד תחילת ספטמבר הן סיבה טובה. כדאי להתייחס לעדכון דפדפן כמו לעדכון מערכת הפעלה. כלומר, להתקין מיד ולוודא שההפעלה מחדש באמת קרתה.