„Chrome“ naudotojams – skubus įspėjimas: „Google“ patvirtino, kad nauja saugumo spraga jau išnaudojama

Sekite TechNaujienos Google

„Google“ išleido „Chrome“ naršyklės saugumo atnaujinimą ir patvirtino, kad viena iš ištaisytų spragų jau naudojama realiose atakose. Lapkričio 9 dieną paskelbtoje oficialioje „Chrome“ versijų suvestinėje įvardytas pažeidžiamumas CVE-2026-125350, susijęs su XML apdorojimu. Pataisa aktuali kompiuteriams su „Windows“, „macOS“ ir „Linux“. Lietuvos vartotojams tai paprastas, bet svarbus priminimas: naršyklės atnaujinimo negalima laikyti vien kosmetiniu pakeitimu.

„Google“ pabrėžia, kad žino apie realiomis sąlygomis egzistuojantį šio pažeidžiamumo išnaudojimo būdą. Tačiau gamintojas nepateikė išsamaus viešo incidentų sąrašo, todėl neteisinga teigti, jog jau užkrėsti konkretūs Lietuvos bankų ar gyventojų kompiuteriai. Pataisa įtraukta į stabilią 157.0.8103.50 arba .51 versiją, priklausomai nuo operacinės sistemos; diegimas vartotojus pasiekia etapais.

Kas nutiko ir kodėl spraga pavojinga

Pažeidžiamumas priskiriamas „use-after-free“ klaidų kategorijai. Taip vadinamos situacijos, kai programa netinkamai tvarko jau atlaisvintą atmintį ir dėl to tam tikromis aplinkybėmis gali veikti nenuspėjamai. Tokios klaidos kartais sudaro sąlygas užpuolikui atlikti neleistinus veiksmus, tačiau vien bendras jų pavadinimas neleidžia spręsti, kad bet kuri svetainė automatiškai perims kompiuterį. Konkreti ataka priklauso nuo techninių sąlygų ir kitų apsaugos priemonių.

„Google“ saugumo pranešime CVE-2026-125350 įvertinta kaip aukšto rimtumo spraga. Kartu ištaisytos ir kelios kitos klaidos, susijusios su naršyklės grafikos apdorojimu, failų sistema ir „V8“ komponentu. Bendrovė laikinai riboja dalį techninių detalių, kad kuo daugiau vartotojų spėtų įdiegti pataisas. Toks ribojimas yra įprasta atsakingo pažeidžiamumų atskleidimo praktika, o ne įrodymas, kad gamintojas slepia konkretaus įsilaužimo mastą.

Naujausi straipsniai

4 min. skaitymo • prieš 17 minučių

„Amazon“ paskelbė neįprastą rekordą: tūkstančiai DI agentų parašė visą programos kodą be žmonių

5 min. skaitymo • prieš 7 val

Naujas smūgis „Nvidia“: pranešta apie dar vieną J. Huango neištikimybės atvejį

4 min. skaitymo • prieš 13 val

„Microsoft Edge“ pradėjo ieškoti nuolaidų už pirkėją: nauji įrankiai lygina kainas ir kuponus

Visi naujausi straipsniai →

Ką padaryti per minutę

Kompiuteryje atidarykite „Chrome“ meniu, pasirinkite „Pagalba“ ir „Apie Google Chrome“. Naršyklė patikrins, ar pasiekiamas naujinimas. Jei jis įdiegiamas, spauskite paleidimo iš naujo mygtuką, nes tik uždarius ir vėl atidarius naršyklę nauji komponentai gali pradėti veikti. Organizacijose įrenginių administratoriai turėtų patikrinti ne tik naujinimo išsiuntimą, bet ir faktinę programų versiją darbuotojų kompiuteriuose.

Šis pažeidžiamumas paveikia „Chromium“ pagrindu sukurtą programinės įrangos komponentą, bet nereikėtų automatiškai teigti, jog visos kitos naršyklės jau turi identišką pataisą. Jeigu naudojate kitą naršyklę, sekite jos gamintojo oficialius saugumo pranešimus ir versijų istoriją. Be to, prieš diegiant bet kokius atnaujinimus nereikėtų spausti atsitiktinių reklaminių langų, siūlančių neva skubų „Chrome“ taisymo failą – saugiausia naudoti pačios programos meniu.

Pastarosiomis dienomis jau rašėme apie aktyviai išnaudojamą „Outlook“ spragą ir „Android“ saugumo atnaujinimus. Platesniam kontekstui aktualus ir mūsų telefonų saugumo nustatymų gidas. Nors tai skirtingos grėsmės, visos jos primena, kad palaikoma, laiku atnaujinama programinė įranga yra viena svarbiausių apsaugos priemonių.

Rizikos vertinime svarbu atskirti vartotojo pareigas ir pačios naršyklės apsaugą. Net atsargiai besielgiantis žmogus gali atsidurti kenkėjiškame ar kompromituotame tinklalapyje, todėl vien taisyklė nespausti įtartinų nuorodų nėra pakankama. „Chrome“ paprastai izoliuoja skirtingus svetainių procesus, tačiau sudėtingose atakose užpuolikai kartais mėgina sujungti kelias spragas. Dėl to ne tik saugumo naujiniai, bet ir mažiausių būtinų kompiuterio leidimų principas išlieka aktualūs. Organizacijoms verta riboti atvejus, kai kasdienis darbuotojas dirba su administratoriaus teisėmis.

Po naujinimo taip pat pravartu patikrinti, ar kompiuterio data, laikas ir automatinio atnaujinimo nustatymai yra teisingi. Jei naudojate kelis vartotojo profilius arba kelias skirtingas naršykles, jos gali turėti nepriklausomą atnaujinimo procesą. Nuolatiniuose darbo kompiuteriuose, kuriuos valdo įmonės IT skyrius, pataisos kartais diegiamos centralizuotai. Tokiu atveju neverta savarankiškai diegti nepatvirtintų paketų: geriau informuoti atsakingus specialistus, kad konkreti spraga jau aktyviai išnaudojama. Gamintojo puslapis yra tinkamiausias šaltinis pasitikrinti versijos numerį.

Ne mažiau svarbu, kad klaida buvo paskelbta oficialiame „Chrome“ stabilios versijos atnaujinimų kanale. Tai reiškia, kad pataisa skirta plačiai naudojamai naršyklei, o ne tik eksperimentinei kūrėjų versijai. Jei atnaujinimų langas ilgai nerodo naujos versijos, verta patikrinti operacinės sistemos ir organizacijos nustatymus, o prireikus kreiptis į techninį administratorių. Saugumo požiūriu svarbiausia ne vien žinoti apie įspėjimą, bet įsitikinti, kad įrenginys iš tiesų naudoja pataisytą programą.

Skubus naujinimas nereiškia, kad reikėtų panikuoti ar iškart keisti visus slaptažodžius, jei nėra incidento požymių. Tačiau nereikėtų atidėlioti atnaujinimo, nes žinoma aktyviai išnaudojama spraga skiriasi nuo vien teoriškai rastos klaidos. Svarbiausia dabar – patikrinti naršyklės versiją, įdiegti gamintojo pataisą ir užbaigti atnaujinimą programą paleidžiant iš naujo.