Chrome 157: Google סוגרת פרצת יום אפס שכבר מנוצלת, השמינית השנה
Google הוציאה עדכון חירום ל-Chrome שמתקן תשע חולשות, ואחת מהן, ברכיב ה-XML, כבר מנוצלת בתקיפות. כך תוודאו שהדפדפן שלכם מוגן.
TL;DR בקצרה
- Chrome 157 מתקן תשע חולשות אבטחה, שבע מהן בחומרה גבוהה
- החולשה CVE-2026-125350 ברכיב ה-XML כבר מנוצלת בפועל, לפי Google
- חוקר אנונימי דיווח עליה ב-6 בנובמבר, והתיקון יצא שלושה ימים אחר כך
- העדכון נכנס לתוקף רק אחרי הפעלה מחדש של הדפדפן
Google הוציאה את Chrome 157 עם תיקון לפרצת יום אפס שתוקפים כבר מנצלים. החולשה, CVE-2026-125350, יושבת ברכיב שמעבד מסמכי XML. העדכון יצא ביום שני בלילה לפי שעון ישראל, והוא מגיע למחשבים בהדרגה.
תשעה תיקונים ב-Chrome 157, ואחד מהם דחוף
לפי ההודעה של צוות Chrome, הגרסה כוללת תשעה תיקוני אבטחה. שבעה מהם בחומרה גבוהה, ושניים בחומרה בינונית. CVE הוא מספר זיהוי רשמי שמקבלת כל חולשה ידועה.
הבעיה הדחופה היא CVE-2026-125350, חולשת Use After Free ברכיב ה-XML. לדברי Google, היא יודעת על אקספלויט לחולשה שפועל ברשת. כלומר, תוקפים כבר משתמשים בה נגד גולשים אמיתיים. לכן זו פרצת יום אפס: התקיפות התחילו לפני שהיה תיקון.
חוקר אנונימי דיווח לחברה על החולשה ב-6 בנובמבר. Google שחררה תיקון שלושה ימים אחר כך, קצב מהיר במיוחד. לפי הספירה של The Hacker News, זו פרצת יום האפס השמינית ב-Chrome השנה.
כרגיל, Google לא מוסרת פרטים על התקיפות עצמן. היא לא אמרה מי התוקפים ומי היעדים. החברה גם חוסמת את הגישה לפרטי הבאג עד שרוב המשתמשים יעדכנו.
אילו גרסאות של Chrome 157 סוגרות את הפרצה
במחשבי Windows ו-Mac הגרסה המתוקנת היא 157.0.8103.50 או 157.0.8103.51. ב-Linux היא 157.0.8103.50. ב-Android הגרסה זהה, והיא תגיע ל-Google Play בימים הקרובים. ארגונים בערוץ Extended Stable, שמתעדכן לאט, מקבלים את התיקון בגרסה 156.0.8078.96.
למה פרצת Use After Free בדפדפן היא סכנה ממשית
Use After Free היא שגיאה בניהול זיכרון. הדפדפן משחרר אזור בזיכרון, ואחר כך ממשיך להשתמש בו. תוקף שמצליח לשתול שם נתונים משלו יכול לגרום לדפדפן להריץ את הקוד שלו.
בדפדפן הסיכון גבוה במיוחד. Chrome מעבד כל הזמן דפים מאתרים זרים, ולכן לעתים קרובות מספיק לגלוש לדף זדוני. אין צורך ללחוץ על קישור או להוריד דבר. לעתים קרובות תוקפים משלבים פרצה כזו עם חולשה נוספת. החולשה השנייה עוקפת את ארגז החול (Sandbox) של הדפדפן. Google לא אמרה אם זה המצב הפעם.
חשוב לזכור גם את הדפדפנים האחרים. Microsoft Edge, Brave, Opera ו-Vivaldi בנויים על אותו מנוע, Chromium. הם מקבלים תיקונים בעדכונים משלהם, לפעמים באיחור של כמה ימים. מי שעובד איתם צריך לעקוב אחרי העדכון הבא.
ועוד נקודה שרבים מפספסים. Chrome מוריד עדכונים לבד, אבל מתקין אותם רק אחרי סגירה ופתיחה מחדש. מי שמשאיר עשרות לשוניות פתוחות במשך שבועות נשאר חשוף, גם אם ההורדה כבר הסתיימה.
מה זה אומר עבורכם
- פתחו בתפריט של Chrome את עזרה, ואז את מידע על Google Chrome. ודאו שמופיעה גרסה 157.0.8103.50 ומעלה.
- לחצו על הפעלה מחדש כשהכפתור מופיע. בלי זה התיקון לא נכנס לתוקף.
- ב-Android עדכנו את Chrome דרך Google Play. אם העדכון עוד לא זמין, בדקו שוב מחר.
- עובדים עם Edge, Brave או Opera? בדקו בימים הקרובים אם יצא עדכון אבטחה, והתקינו אותו מיד.
- אנשי IT: הפיצו את הגרסה לכל העמדות דרך כלי הניהול. בערוץ Extended Stable ודאו שהמחשבים בגרסה 156.0.8078.96.
מה הלאה
Google תפרסם את פרטי הבאג רק אחרי שרוב המשתמשים יעדכנו. אז אולי נדע מי עמד מאחורי התקיפות. בינתיים, היום גם Microsoft מוציאה את עדכוני האבטחה החודשיים שלה, Patch Tuesday. זה זמן טוב לעדכן הכול, ולא רק את הדפדפן.
מקורות והרחבה
- Stable Channel Update for DesktopGoogle Chrome Releases
- Chrome for Android UpdateGoogle Chrome Releases
- Google Issues Chrome Security Update for Eighth Actively Exploited Zero-Day of 2026The Hacker News
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
