CVE-2026-2441: Use after free в CSS Google Chrome позволяет выполнить код в песочнице

Компания Google выпустила обновление безопасности, закрывающее опасную уязвимость в браузере Chrome. Проблема затрагивает механизм обработки каскадных таблиц стилей (CSS) и потенциально позволяет злоумышленнику исполнять произвольный код в изолированной среде браузера.

Подробности

Уязвимости присвоен идентификатор CVE-2026-2441. Речь идёт о классической ошибке типа use after free (использование памяти после её освобождения) в подсистеме CSS. Такие дефекты возникают, когда программа продолжает обращаться к области памяти, которая уже была освобождена, что позволяет атакующему управлять содержимым этой памяти и потенциально влиять на ход выполнения кода.

Уязвимы все версии Google Chrome ниже 145.0.7632.75. По данным Chromium, уровень серьёзности уязвимости оценён как High. Для эксплуатации атакующему достаточно убедить пользователя открыть специально подготовленную HTML-страницу — никакого дополнительного взаимодействия, кроме перехода на вредоносный ресурс, не требуется.

Ключевая особенность CVE-2026-2441 в том, что исполнение произвольного кода происходит внутри песочницы браузера. Это снижает масштаб возможного ущерба по сравнению с уязвимостями, позволяющими выйти за пределы sandbox, однако успешная эксплуатация всё равно даёт атакующему контроль над процессами рендеринга и может стать первым шагом в цепочке атаки. Подтверждённых данных об активном использовании уязвимости в реальных атаках на момент публикации записи нет.

Что делать

Основная и наиболее надёжная рекомендация — как можно скорее обновить Google Chrome до версии 145.0.7632.75 или более новой. Обновление обычно устанавливается автоматически, однако стоит проверить актуальность версии вручную через меню «Справка → О браузере Google Chrome» и при необходимости перезапустить браузер.

Организациям, использующим централизованное управление парком устройств, следует убедиться, что обновление доставлено на все рабочие станции. Если по каким-то причинам установка обновления невозможна, в качестве временной компенсационной меры можно ограничить переходы пользователей на недоверенные веб-ресурсы с помощью средств веб-фильтрации и блокировки, а также повысить бдительность сотрудников в отношении фишинговых ссылок. Эти меры не устраняют уязвимость, поэтому откладывать обновление не рекомендуется.

Уязвимость CVE-2026-2441 относится к распространённому и опасному классу ошибок работы с памятью, которые регулярно становятся вектором атак на браузеры. Высокий уровень серьёзности и низкая сложность эксплуатации через обычную HTML-страницу делают своевременное обновление Chrome критически важным как для частных пользователей, так и для корпоративной среды.

Источник: CVE Project (cvelistV5)