גוגל פרסמה עדכון יציב ל-Chrome שמתקן תשע פגיעויות. אחת מהן, CVE-2026-125350, היא פגיעות מסוג use-after-free ברכיב ה-XML, וגוגל מסרה שהיא מודעת לכך שקיים לה ניצול בפועל. מדובר ב-Zero-Day השמיני של הדפדפן שמטופל השנה, ולכן העדכון דחוף.
| מזהה | CVE-2026-125350 |
| מוצר וגרסאות מושפעות | Google Chrome לפני 157.0.8103.50 |
| חומרה (CVSS) | לא פורסם (גוגל מסווגת כ"גבוהה") |
| מנוצל בפועל | כן, לפי גוגל |
| סטטוס תיקון | תוקן ב-157.0.8103.50 (Linux) וב-157.0.8103.50/.51 (Windows ו-macOS) |
מה קרה
הפגיעות דווחה לגוגל ב-6 בנובמבר 2026 על ידי חוקר אנונימי. גוגל לא פירטה מי מנצל אותה, נגד מי ובאיזה אופן, וגם לא פרסמה ציון CVSS. זה הנוהג הרגיל כדי לתת למשתמשים זמן לעדכן.
use-after-free הוא כשל בניהול זיכרון שבמקרים רבים מאפשר לתוקף להריץ קוד דרך דף אינטרנט מתוכנן. כאן גוגל לא אישרה את ההשפעה המדויקת, ולכן אין להסיק יותר ממה שפורסם.
נקודות לשים לב
- עדכן את Chrome לגרסה 157.0.8103.50 ומעלה, ובדוק דרך
chrome://settings/help. הדפדפן צריך להיות מופעל מחדש כדי שהעדכון ייכנס לתוקף. - דפדפנים מבוססי Chromium (כמו Edge) עשויים להיות חשופים לאותו רכיב. עקוב אחר עדכוני היצרנים שלהם; הכתבה אינה מאשרת זאת.
- בארגון, בדוק במערכת הניהול שאין תחנות שנתקעו בגרסה ישנה, ודרוש הפעלה מחדש.
- אין כרגע פרטים על אינדיקטורים לזיהוי הניצול, ולכן עדכון הוא ההגנה העיקרית.
מקורות: Chrome Releases · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
