Google исправила очередную ошибку памяти в Chrome, которую злоумышленники уже эксплуатировали, доведя число активно эксплуатируемых zero-day уязвимостей Chrome в этом году до восьми. Последнее обновление Chrome zero-day 2026 следует знакомой схеме: обнаруживается уязвимость, используемая в реальных атаках, Google выпускает патч, а пользователям сообщают, что нужно обновиться и перезапустить браузер. Подробностей о последней уязвимости в имеющихся у нас материалах немного, поэтому этот пост посвящён тому, что означает эта схема и что вам следует делать.
Почему Chrome снова и снова получает zero-day в этом году
Восемь zero-day за один год — это много для одного браузера, и их число продолжает расти. Незадолго до этого мы рассказывали о том, как Chrome 153 исправил седьмую zero-day уязвимость 2026 года. Теперь появилась восьмая.
Общая нить — ошибки памяти. Chrome — это огромная кодовая база, которая обрабатывает недоверенный контент с каждого посещаемого вами сайта, и значительная её часть написана на языках, где возможны ошибки управления памятью. Когда ошибка проскальзывает, её иногда можно превратить в оружие. Это делает браузер постоянной мишенью.
«Zero-day» означает, что злоумышленники успели первыми. У производителя не было патча, когда началась эксплуатация, поэтому не было окна, в котором пользователи могли бы защитить себя, обновившись. Именно поэтому исправление, как только оно появляется, так важно.
Что злоумышленники могут сделать с эксплуатируемой ошибкой памяти
Уязвимости безопасности памяти обычно позволяют злоумышленнику заставить браузер вести себя так, как его создатели не задумывали. На практике это может означать запуск вредоносного кода на вашем устройстве после простого посещения страницы с ловушкой. Точные возможности зависят от конкретной ошибки и от того, сочетается ли она с другими уязвимостями.
Это сочетание стоит понимать. Современные браузеры изолируют веб-контент в песочнице, поэтому одной ошибки часто недостаточно для полной компрометации. Злоумышленники иногда комбинируют несколько уязвимостей, чтобы вырваться из неё. Мы рассматривали это в нашем отчёте о цепочке Chrome zero-day, выходящей из песочницы, который показывает, как отдельные ошибки могут быть собраны в единый работающий эксплойт.
Ключевой момент для обычных пользователей: вам не нужно ничего скачивать или нажимать на подозрительное предложение, чтобы эксплойт браузера сработал. Достаточно просто загрузить контент — вот почему к этим ошибкам относятся серьёзно, даже когда публичных подробностей мало.
Почему VPN не останавливает эксплойты браузера
Легко предположить, что инструменты приватности покрывают всё. Это не так. VPN шифрует трафик между вашим устройством и VPN-сервером и скрывает ваш IP-адрес от посещаемых сайтов. Это полезно для приватности в недоверенных сетях, но работает на сетевом уровне.
Эксплойт браузера происходит внутри самого браузера. Если вредоносная страница вызывает ошибку памяти в Chrome, VPN-туннель просто доставляет вам эту страницу вместе с эксплойтом. Шифрование не проверяет и не нейтрализует то, что делает страница после того, как Chrome её отрисует.
Это не аргумент против использования VPN для того, для чего он предназначен. Это напоминание о том, что разные инструменты решают разные задачи. Для уязвимостей браузера соответствующая защита — это патч.
Как проверить, что Chrome полностью обновлён
Chrome обычно обновляется сам в фоновом режиме, но исправление применяется только после перезапуска браузера. Многие люди оставляют Chrome открытым на дни или недели, что может оставить разрыв между установленным и применённым патчем.
- Откройте Chrome и нажмите на меню с тремя точками в правом верхнем углу.
- Перейдите в Справка, затем в О браузере Google Chrome.
- Дайте Chrome проверить наличие обновлений. Если оно доступно, оно загрузится автоматически.
- Нажмите Перезапустить, когда появится запрос. Ваши вкладки обычно восстанавливаются после этого.
- Снова откройте страницу «О браузере», чтобы убедиться, что там указано, что Chrome обновлён до последней версии.
Если вы управляете устройствами для семьи или небольшой команды, повторите это на каждом компьютере и телефоне, где используется Chrome. Браузеры на том же движке также могут получать собственные исправления, поэтому проверьте и их.
Сроки установки патчей также могут иметь значение в организациях. Наш материал о сроке CISA 18 сентября для Chrome zero-day — хороший пример того, как быстро могут меняться рекомендации после подтверждения эксплуатации.
Что это значит для вас
Для большинства людей риск от любой отдельной zero-day невелик, а средство устранения — быстрое. Но постоянный поток исправлений в этом году говорит о том, что относиться к обновлениям браузера как к необязательным — ошибка. Злоумышленники явно находят и используют ошибки Chrome до появления патчей, поэтому время между выпуском исправления и его применением вами — это то, что вы контролируете.
Несколько практических привычек помогают:
- Регулярно перезапускайте Chrome. Загруженное обновление ничего не делает, пока вы не перезапустите браузер.
- Проверяйте страницу «О браузере», когда видите новости о новой zero-day уязвимости Chrome.
- Держите операционную систему обновлённой — эксплойты браузера иногда объединяются с другими уязвимостями.
- Используйте VPN для того, что он делает хорошо, например для защиты трафика в публичных Wi-Fi сетях, но не рассчитывайте на него как на средство блокировки браузерных атак.
Вывод: обновитесь и перезапустите сейчас
Последнее обновление Chrome zero-day 2026 — ещё одно напоминание о том, что самая эффективная защита от эксплойтов браузера — это пропатченный браузер. Откройте страницу «О браузере» в Chrome сейчас, установите последнее обновление и перезапустите браузер. Для понимания того, как накопились проблемы этого года, прочитайте наш более ранний отчёт о Chrome 153 и его седьмом исправлении zero-day. Это занимает меньше минуты и закрывает дверь для ошибки, которую злоумышленники уже использовали.
