CVE-2026-87589: обход изоляции сайтов в Google Chrome

В начале 2026 года в списке CVE Project был опубликован идентификатор CVE-2026-87589, описывающий уязвимость в браузере Google Chrome. Проблема затрагивает механизм изоляции сайтов (SiteIsolation) — ключевой компонент архитектуры безопасности Chromium, который не позволяет веб-страницам из разных источников получать доступ к памяти друг друга.

Подробности

Уязвимость классифицирована как «неправильная авторизация» (incorrect authorization) в компоненте SiteIsolation. Под уязвимыми версиями понимаются все сборки Google Chrome ниже 153.0.8010.36. По информации из записи CVE, для эксплуатации атакующему необходимо уже иметь контроль над скомпрометированным процессом рендеринга. При выполнении этого условия удалённый злоумышленник может обойти системные ограничения доступа, используя специально сформированную HTML-страницу.

Уязвимости присвоен средний уровень опасности (Chromium security severity: Medium). В записи CVE значение CVSS не указано, поэтому ориентироваться следует на официальную оценку Chromium. Стоит подчеркнуть, что эксплуатация не является удалённой «из коробки»: необходимо предварительное компрометирование рендерера, что повышает сложность атаки, но не отменяет рисков в сценариях целенаправленного воздействия. Успешная эксплуатация позволяет преодолеть барьеры изоляции между сайтами и получить доступ к ресурсам, которые в нормальных условиях должны быть недоступны.

Что делать

Основная рекомендация — как можно скорее обновить Google Chrome до версии 153.0.8010.36 или более новой. Обновление доступно через встроенный механизм автообновления браузера; проверить версию можно на странице chrome://version. Организациям следует убедиться, что политики управления обновлениями не блокируют установку актуального релиза, а также проконтролировать обновление браузеров на основе Chromium, если они используются в инфраструктуре.

До применения обновления можно рассмотреть дополнительные меры защиты: ограничение доступа пользователей к потенциально опасным веб-ресурсам, усиление мониторинга на предмет аномальной активности процессов рендеринга, использование средств изоляции браузера (например, запуск в песочнице или на изолированных виртуальных машинах) для работы с недоверенным контентом. Однако эти меры являются вспомогательными и не заменяют установку исправления.

Уязвимость CVE-2026-87589 демонстрирует, насколько важна своевременная актуализация браузерного ПО: даже при среднем уровне опасности и необходимости предварительной компрометации рендерера подобные дефекты способны стать частью многоступенчатых атак. Обновление до Chrome 153.0.8010.36 закрывает проблему — это самый надёжный и быстрый способ защиты.

Источник: CVE Project (cvelistV5)