CVE-2026-102317: выход за sandbox в Google Chrome на Windows

В Google Chrome для Windows выявлена уязвимость, связанная с неправильным управлением привилегиями в компоненте Mojo — межпроцессной платформе, которую Chromium использует для взаимодействия между процессами браузера. Проблеме присвоен идентификатор CVE-2026-102317.

Подробности

Уязвимость затрагивает Google Chrome под управлением Windows во всех версиях до 154.0.8037.92. По классификации CWE речь идёт о неправильном управлении привилегиями (Improper Privilege Management) в Mojo.

Согласно описанию, локальный атакующий может потенциально выполнить произвольный код за пределами sandbox с помощью локальной программы. То есть для эксплуатации злоумышленнику уже требуется присутствие на целевой машине и возможность запускать локальный код — это снижает вектор атаки до локального, но одновременно повышает опасность последствий, поскольку успешная эксплуатация позволяет выйти за рамки изоляции процессов Chrome.

Компания Chromium оценила серьёзность уязвимости как High (высокая). Числовое значение CVSS в записи CVE не приводится.

Что делать

Основная рекомендация — обновить Google Chrome до версии 154.0.8037.92 или более поздней. Обновление обычно устанавливается автоматически, однако стоит проверить версию вручную через меню «Справка → О Google Chrome» и при необходимости инициировать перезапуск браузера.

Дополнительные меры снижения риска:

• не запускать на рабочих машинах недоверенные локальные программы и скрипты;
• ограничить права пользователей, чтобы уменьшить возможности локального кода;
• использовать средства контроля приложений и EDR для выявления подозрительной активности вокруг процессов Chrome;
• следить за выпуском обновлений Chromium и корпоративных сборок на его основе, если они используются в инфраструктуре.

Уязвимость требует локального доступа, поэтому массовых удалённых атак по ней не ожидается. Тем не менее высокий уровень критичности и возможность выхода за sandbox делают своевременное обновление обязательным — особенно на машинах, где работают пользователи с повышенными правами.

Источник: CVE Project (cvelistV5)