CVE-2026-106329: ошибка авторизации в FileSystem Google Chrome позволяет выйти за пределы песочницы
В Google Chrome до версии 155.0.8059.39 обнаружена уязвимость некорректной авторизации в компоненте FileSystem. При успешной эксплуатации с использованием методов социальной инженерии удалённый атакующий может выполнить произвольный код за пределами песочницы браузера. Chromium присвоил проблеме высокий уровень опасности.
Подробности
Уязвимость затрагивает все сборки Google Chrome версий ниже 155.0.8059.39. Тип проблемы — некорректная авторизация в FileSystem (CWE-863, Incorrect Authorization). Согласно описанию CVE, удалённый атакующий, применяя методы социальной инженерии, может побудить пользователя открыть специально сформированную HTML-страницу. Это, в свою очередь, потенциально позволяет выполнить произвольный код за пределами песочницы браузера (sandbox escape). Ключевая опасность заключается в комбинации двух факторов: для запуска атаки достаточно взаимодействия с пользователем (открытие вредоносной страницы), а последствия выходят за рамки стандартной изоляции Chrome. Выход за пределы песочницы существенно повышает риск компрометации операционной системы, поскольку позволяет получить доступ к ресурсам, которые обычно для веб-контента недоступны. Числовое значение CVSS в записи CVE не указано; Chromium квалифицирует уязвимость как High. Стоит отметить, что эксплуатация требует социальной инженерии — злоумышленнику необходимо убедить жертву перейти по ссылке или открыть файл. Это снижает вероятность автоматического массового сканирования, но не уменьшает критичность для целевых атак, где пользователя можно мотивировать к нужному действию.Что делать
Основная рекомендация — как можно скорее обновить Google Chrome до версии 155.0.8059.39 или более новой. Обновление обычно устанавливается автоматически, однако стоит проверить версию вручную через раздел «О браузере Google Chrome» и при необходимости перезапустить приложение для применения патча. Организациям следует убедиться, что централизованные системы управления обновлениями развернули актуальную версию на всех рабочих станциях. Дополнительные меры снижения риска: - Ограничить переходы по подозрительным ссылкам и повысить осведомлённость сотрудников о методах социальной инженерии. - Использовать средства защиты конечных точек, способные выявлять эксплуатацию уязвимостей браузера. - Рассмотреть включение дополнительных политик изоляции и ограничения прав для браузера там, где это применимо. Пользователям других браузеров на движке Chromium (например, Edge, Opera, Brave) также стоит дождаться соответствующих обновлений от их вендоров, так как исправление обычно переносится из upstream-кода Chromium. Итог: CVE-2026-106329 — серьёзная уязвимость в Google Chrome, позволяющая при определённых условиях выйти за пределы песочницы и выполнить произвольный код. Наиболее эффективная мера защиты — незамедлительное обновление до версии 155.0.8059.39 и выше, дополненное базовой гигиеной безопасности и внимательностью к подозрительным ссылкам.Источник: CVE Project (cvelistV5)