Google виправив ще одну помилку пам'яті в Chrome, яку зловмисники вже експлуатували, довівши цьогорічний показник активно експлуатованих zero-day у Chrome до восьми. Останнє оновлення Chrome zero-day 2026 відбувається за знайомою схемою: виявляється вразливість, яку вже використовують у реальних атаках, Google випускає патч, а користувачам радять оновити браузер і перезапустити його. Деталі останньої вразливості в наявних матеріалах мізерні, тому цей пост зосереджується на тому, що означає ця схема і що вам слід з цим робити.
Чому цього року в Chrome постійно з'являються zero-day
Вісім zero-day за один рік — це багато для одного браузера, і їхня кількість продовжує зростати. Безпосередньо перед цим ми писали про те, як Chrome 153 виправив сьомий zero-day 2026 року. Тепер є восьмий.
Спільна нитка — помилки пам'яті. Chrome — це величезна кодова база, яка обробляє недовірений вміст з кожного веб-сайту, який ви відвідує, і значна її частина написана мовами, де помилки в роботі з пам'яттю можливі. Коли помилка проходить непоміченою, її іноді можна перетворити на зброю. Це робить браузер постійною мішенню.
«Zero-day» означає, що зловмисники дісталися першими. У постачальника не було доступного патча, коли почалася експлуатація, тому не було вікна, протягом якого користувачі могли б захистити себе, оновившись. Ось чому виправлення, коли воно з'являється, таке важливе.
Що зловмисники можуть зробити з експлуатованою помилкою пам'яті
Вразливості безпеки пам'яті зазвичай дозволяють зловмиснику змусити браузер поводитися так, як його розробники ніколи не передбачали. На практиці це може означати виконання шкідливого коду на вашому пристрої після того, як ви просто відвідаєте сторінку з пасткою. Точні можливості залежать від конкретної вразливості та від того, чи поєднується вона з іншими вразливостями.
Це поєднання варто розуміти. Сучасні браузери ізолюють веб-вміст у пісочниці, тому однієї вразливості часто недостатньо для повної компрометації. Зловмисники іноді комбінують кілька вразливостей, щоб вирватися з неї. Ми розглядали це в нашому звіті про ланцюжок Chrome zero-day, що виходить із пісочниці, який показує, як окремі вразливості можна зібрати в один робочий експлойт.
Ключовий момент для звичайних користувачів: вам не потрібно нічого завантажувати чи натискати на підозріле вікно, щоб експлойт браузера спрацював. Достатньо просто завантажити вміст, і саме тому до цих вразливостей ставляться серйозно, навіть коли публічні деталі мізерні.
Чому VPN не зупиняє експлойти браузера
Легко припустити, що інструменти приватності покривають усе. Це не так. VPN шифрує трафік між вашим пристроєм і VPN-сервером і приховує вашу IP-адресу від сайтів, які ви відвідуєте. Це корисно для приватності в ненадійних мережах, але працює на мережевому рівні.
Експлойт браузера відбувається всередині самого браузера. Якщо шкідлива сторінка викликає помилку пам'яті в Chrome, VPN-тунель просто доставляє вам цю сторінку разом з експлойтом. Шифрування не перевіряє і не нейтралізує те, що робить сторінка після того, як Chrome її відобразить.
Це не аргумент проти використання VPN для того, для чого він призначений. Це нагадування, що різні інструменти вирішують різні проблеми. Для вразливостей браузера відповідний захист — це патч.
Як перевірити, чи Chrome повністю оновлено
Chrome зазвичай оновлюється сам у фоновому режимі, але виправлення застосовується лише після перезапуску браузера. Багато людей залишають Chrome відкритим на дні або тижні, що може залишити прогалину між виправленням і його застосуванням.
- Відкрийте Chrome і натисніть меню з трьома крапками у верхньому правому куті.
- Перейдіть до Довідка, потім Про Google Chrome.
- Дозвольте Chrome перевірити наявність оновлень. Якщо оновлення доступне, воно завантажиться автоматично.
- Натисніть Перезапустити, коли з'явиться запит. Ваші вкладки зазвичай відновлюються після цього.
- Знову відкрийте сторінку «Про браузер», щоб переконатися, що там зазначено, що Chrome оновлено.
Якщо ви керуєте пристроями для родини або невеликої команди, повторіть це на кожному комп'ютері та телефоні, де використовується Chrome. Браузери на базі того ж рушія також можуть отримувати власні виправлення, тому перевірте й їх.
Кінцеві терміни випуску патчів також можуть мати значення в організаціях. Наш матеріал про кінцевий термін CISA 18 вересня для Chrome zero-day — гарний приклад того, як швидко можуть змінюватися рекомендації, щойно підтверджено експлуатацію.
Що це означає для вас
Для більшості людей ризик від будь-якого окремого zero-day низький, а виправлення швидке. Але постійний потік виправлень цього року свідчить, що ставитися до оновлень браузера як до необов'язкових — це помилка. Зловмисники явно знаходять і використовують вразливості Chrome до появи патчів, тому час між випуском виправлення і його застосуванням вами — це те, що ви контролюєте.
Кілька практичних звичок допоможуть:
- Регулярно перезапускайте Chrome. Завантажене оновлення нічого не робить, поки ви не перезапустите браузер.
- Перевіряйте сторінку «Про браузер» щоразу, коли бачите новини про новий Chrome zero-day.
- Тримайте операційну систему оновленою також, оскільки експлойти браузера іноді поєднуються з іншими вразливостями.
- Використовуйте VPN для того, у чому він добрий, наприклад, для захисту трафіку в публічних Wi-Fi мережах, але не розраховуйте на нього як на засіб блокування атак на браузер.
Висновок: оновіть і перезапустіть зараз
Останнє оновлення Chrome zero-day 2026 — ще одне нагадування, що найефективніший захист від експлойтів браузера — це оновлений браузер. Відкрийте сторінку «Про браузер» у Chrome зараз, встановіть останнє оновлення та перезапустіть. Для контексту того, як накопичувалися проблеми цього року, прочитайте наш попередній звіт про Chrome 153 та його сьоме виправлення zero-day. Це займає менше хвилини і закриває двері для вразливості, яку зловмисники вже використовували.
