CVE-2026-95352: обход политики origin в DevTools Google Chrome через вредоносное расширение

Компания Google выпустила обновление браузера Chrome, закрывающее уязвимость CVE-2026-95352 в компоненте DevTools. Проблема относится к классу ошибок разграничения доступа (CWE-863, Incorrect Authorization) и позволяет обойти политику веб-origin. Публикация записи CVE появилась в базе CVE Project (cvelistV5).

Подробности

Уязвимости подвержены версии Google Chrome ниже 154.0.8037.57. Ошибка затрагивает инструменты разработчика (DevTools): из-за некорректной проверки прав злоумышленник может обойти политику web origin, то есть выйти за рамки ограничений, которые браузер накладывает на взаимодействие между разными источниками (схема, домен, порт). Нарушение этого механизма потенциально открывает путь к доступу к данным или функциям, которые в штатном режиме должны оставаться изолированными.

Для эксплуатации атакующему необходимо дистанционно воздействовать на пользователя методами социальной инженерии — например, убедить его установить специально подготовленное расширение Chrome. Само по себе расширение выступает инструментом обхода, а не самостоятельным вектором: без действий пользователя атака не сработает. Именно поэтому Google присвоила проблеме низкий уровень критичности по шкале Chromium (Chromium security severity: Low). Числовое значение CVSS в записи CVE не приводится, поэтому точную оценку по этой методике указать нельзя.

Следует подчеркнуть: в описании фигурирует только продукт Google Chrome и диапазон версий до 154.0.8037.57. Иные браузеры на движке Chromium в записи не упоминаются, поэтому делать выводы об их уязвимости без дополнительных данных не стоит.

Что делать

Основная и достаточная мера — обновить Google Chrome до версии 154.0.8037.57 или более поздней. Обновление обычно устанавливается автоматически; проверить версию и инициировать его вручную можно в разделе «Справка → О браузере Google Chrome».

Дополнительные организационные меры снижают риск социальной инженерии:

• ограничить установку расширений политиками (Enterprise-политики Chrome, белые списки разрешённых расширений);
• проводить разъяснительную работу с сотрудниками о недопустимости установки расширений по просьбе третьих лиц или с сомнительных ресурсов;
• контролировать перечень установленных расширений на рабочих станциях и оперативно реагировать на подозрительные;
• своевременно применять обновления браузера в рамках процесса управления уязвимостями.

Если обновление по каким-то причинам отложено, в качестве временной митигации можно ужесточить политику установки расширений и усилить мониторинг подозрительной активности в браузере. Полностью компенсировать уязвимость без обновления нельзя.

CVE-2026-95352 — показательный пример того, что даже низкая по шкале Chromium уязвимость требует внимания: успех атаки зависит от человеческого фактора, а значит, технические обновления стоит подкреплять организационными мерами. Обновите Chrome до 154.0.8037.57 или новее и держите под контролем устанавливаемые расширения.

Источник: CVE Project (cvelistV5)