Chrome'da saldırılarda kullanılan zero-day kapatıldı, XML bileşenindeki CVE-2026-125350 için acil güncelleme
Google, Chrome'un XML bileşenindeki use-after-free açığı CVE-2026-125350 için exploit'in sahada bulunduğunu doğruladı. Düzeltme Windows ve Mac'te 157.0.8103.50/.51, Linux'ta 157.0.8103.50, Extended Stable kanalında 156.0.8078.96 sürümünde.
CVE-2026-125350, CVE-2026-125346, CVE-2026-125344
Google, masaüstü Chrome için yayımladığı Stable kanal güncellemesiyle saldırılarda kullanılan bir zero-day açığını kapattı. CVE-2026-125350 olarak izlenen açık, tarayıcının XML bileşeninde bir use-after-free hatası ve "yüksek" önem derecesinde. Google bildiriminde bu açık için bir exploit'in sahada bulunduğunu belirtiyor.
Açık, 6 Kasım'da kimliğini açıklamayan bir araştırmacı tarafından bildirildi ve düzeltme üç gün sonra yayımlandı. Google, açığı kimin kullandığını ve kaç kişinin hedef alındığını açıklamadı. Güncelleme toplam dokuz güvenlik düzeltmesi içeriyor; aralarında XML bileşenindeki ikinci bir use-after-free açığı (CVE-2026-125346) ve V8 motorundaki bir type confusion hatası (CVE-2026-125344) da var. 10 Kasım sabahı itibarıyla açık CISA KEV kataloğunda değil, ancak üretici sahada istismarı doğruladığı için masamız onu acil öncelikte işliyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Chrome masaüstü (Windows, Mac) | 157.0.8103.50 öncesi | 157.0.8103.50/.51 |
| Chrome masaüstü (Linux) | 157.0.8103.50 öncesi | 157.0.8103.50 |
| Chrome Extended Stable | 156.0.8078.96 öncesi | 156.0.8078.96 |
| Chromium tabanlı diğer tarayıcılar | Üretici bildirimindeki liste | Üretici bildirimindeki liste |
Edge, Brave, Opera, Vivaldi gibi Chromium tabanlı tarayıcılar için düzeltme sürümü her üreticinin kendi sürüm notlarında yayımlanır; bu tarayıcılar için sürüm tahmin etmiyoruz.
Beni etkiliyor mu?
Chrome'da adres çubuğuna chrome://settings/help yazarak sürümü görebilirsiniz. Kurumsal ortamda Windows uç noktalarında kurulu sürümü salt okunur olarak şöyle sorgulayabilirsiniz:
Get-Item "C:\Program Files\Google\Chrome\Application\chrome.exe" | Select-Object -ExpandProperty VersionInfoLinux'ta paket sürümünü salt okunur sorgulamak için:
rpm -q google-chrome-stableSürüm yukarıdaki tablodaki düzeltilmiş sürümden düşükse cihaz etkileniyor demektir.
Ne yapılmalı?
- Chrome'u 157.0.8103.50/.51 (Linux'ta 157.0.8103.50) ya da Extended Stable kullanıyorsanız 156.0.8078.96 sürümüne güncelleyin. Güncelleme arka planda inse bile tarayıcı yeniden başlatılmadan devreye girmez; kullanıcılardan tarayıcıyı kapatıp açmalarını isteyin.
- Google dağıtımın "günler ya da haftalar" içinde tamamlanacağını söylüyor. Otomatik güncellemeyi beklemeyin; yönetim aracınızla (Intune, SCCM, Jamf vb.) güncellemeyi zorlayın ve uyumluluk raporundan eski sürümde kalan cihazları takip edin.
- Chromium tabanlı diğer tarayıcıların üreticilerinin sürüm notlarını izleyin ve düzeltme yayımlandığında aynı önceliği verin.
- Uç nokta güvenlik ürününüzde tarayıcı süreçlerinden doğan olağan dışı alt süreç ve dosya yazma olaylarını gözden geçirin. Google teknik ayrıntıyı kısıtladığı için ayrıntılı IOC yok.
- Patch Tuesday haftasında olduğumuz için tarayıcı güncellemesini işletim sistemi yamalarını beklemeden, ayrı bir acil change kaydıyla geçirin.
