Chrome 151 labo 382 drošības caurumus — 358 no tiem atklāja AI

Google Chrome 151 iznāca ar ielāpiem 382 drošības caurumiem vienā laidienā — lielākais CVE skaits Chrome vēsturē. 15 no tiem ir kritiskas pakāpes: uzbrucējs var izpildīt patvaļīgu kodu iekārtā, ja lietotājs atver ļaunprātīgu lapu. Viens caurums, CVE-2026-11645, tiek aktīvi izmantots uzbrukumos kopš jūnija un skar arī VS Code, Slack un citas Electron bāzētās lietotnes.

358 no šiem 382 caurumiem atklāja Google iekšējā automatizētā testēšana ar AI rīkiem. Atlikušos 24 ziņoja ārējie pētnieki caur bug bounty programmu. Iepriekšējos gados lielāko daļu kļūdu atklāja ārpus Google — šogad proporcija ir mainījusies krasi.

15 kritiskās kļūdas un to uzbrukuma mehānisms

Kritiskās kļūdas atrodas Chrome renderēšanas procesā — tur, kur pārlūks izpilda tīmekļa lapu kodu. Uzbrucējs var izkļūt no pārlūka smilšukastes un iegūt tiesības izpildīt kodu ar lietotāja privilēģijām. Nekāda faila lejupielāde nav nepieciešama — pietiek apmeklēt uzbrucēja kontrolētu lapu.

Smaguma sadalījums: 15 kritiskas, 67 augsta riska, 169 vidēja riska, 131 zema riska. Ievainojamības apvieno gandrīz visas Chrome pamata komponentes — PDF parsēšanu, grafikas bibliotēkas, WebAudio un WebAssembly dzinēju. Tik plašs skaits vienā laidienā ir tiešs AI testēšanas apjoma ieguvums.

CVE-2026-11645: V8 caurums, ko CISA nosaukusi par aktīvi ekspluatētu

CVE-2026-11645 ir ārpusdiapazona atmiņas piekļuve V8 — Chrome JavaScript un WebAssembly dzinējā. CVSS rādītājs: 8.8. Uzbrucējs var izpildīt patvaļīgu kodu pārlūka smilšukastē, izmantojot speciāli sagatavotu HTML lapu, bez jebkādas papildu lietotāja darbības.

CISA pievienoja šo CVE Known Exploited Vulnerabilities katalogam 9. jūnijā un noteica 23. jūniju kā ielāpa termiņu federālajām ASV aģentūrām. Aktīvajos uzbrukumos tiek izmantotas ļaunprātīgas vai kompromitētas vietnes ar JavaScript, kas kompromitē pārlūku tā sauktajā drive-by scenārijā — lietotājam nav jālejupielādē nekas.

CVE-2026-11645 skar Chrome, Edge, Brave un visas Electron bāzētās lietotnes — VS Code, Slack, Discord, GitHub Desktop. Katrā no tām darbojas tas pats V8 dzinējs, un Chrome pārlūka atjauninājums tās neaizskar.

Kāpēc 358 no 382 caurumiem nāca no iekšienes

Google norādīja, ka 358 caurumi nākuši no iekšējiem automatizētiem drošības testiem ar AI. Mūsdienu fuzz testēšanas rīki ģenerē miljoniem ievaddatu kombināciju un meklē heap overflow un use-after-free gadījumus — atmiņas pārvaldības kļūdas, kas parādās tikai konkrētos apstākļos. Šāda mēroga testēšana nav sasniedzama ar manuālu pārskatīšanu vien.

Chrome 151 laidiens rāda, ka iekšējā AI testēšana ir kļuvusi par galveno drošības kļūdu avotu. Rezultāts ir paradoksāls: garāki ielāpu saraksti katrā laidienā nozīmē, ka vairāk kļūdu atrod pirms laidiena.

Kā pārbaudīt Chrome un Electron lietotnes

Chrome parasti atjauninās automātiski, taču atjauninājums paliek gaidīšanas režīmā, kamēr pārlūks netiek restartēts. Lai pārbaudītu un aktivizētu atjauninājumu:

1. Atver Chrome un noklikšķini uz trim punktiem augšējā labajā stūrī
2. Izvēlies Palīdzība → Par Google Chrome
3. Ja atjauninājums pieejams, tas lejupielādējas automātiski; restartē pārlūku

Electron lietotnes — VS Code, Slack, Discord — izmanto savus Chromium izlaidumus, kas atjauninās neatkarīgi no Chrome pārlūka. VS Code versiju pārbaudi ar Help → About, Slack ar Help → About Slack. Abu lietotņu jaunākajiem izlaidumiem vajadzētu jau saturēt CVE-2026-11645 ielāpu, taču versijas ir jāpārbauda manuāli.

Avoti

• Chrome Update Patches 382 Vulnerabilities Including 15 Critical — CyberSecurityNews
• Google Patches 382 Chrome Vulnerabilities — SecurityWeek
• Chrome V8 Zero-Day CVE-2026-11645 Exploited in the Wild — The Hacker News
• CISA Warns Google Chromium Zero-Day CVE-2026-11645 Exploited — Digital Warfare
• CVE-2026-11645 Detail — NVD