Chrome 157, yedisi kritik 213 güvenlik açığını kapattı

Google, 3 Kasım’da Chrome 157’yi Windows, Mac ve Linux için kararlı sürüm olarak yayımladı. Google’a göre sürüm 213 güvenlik açığını kapatıyor. Açıklardan yedisi kritik, 77’si yüksek, 75’i orta ve 54’ü düşük önemde. Google aynı gün Android için de Chrome 157’yi (157.0.8103.38) yayımladı. Google açıklardan birinin saldırılarda kullanıldığını bildirmedi.

Kritik açıklar

CVE kayıtlarına göre kritik açıkların altısı, özel hazırlanmış bir HTML sayfası açıldığında uzaktaki bir saldırganın tarayıcının korumalı alanı (sandbox) dışında kod çalıştırmasına izin verebiliyor. Korumalı alan, bir sayfadaki zararlı kodun bilgisayarın geri kalanına ulaşmasını engelleyen katman. Kritik açıklar şunlar:

• CVE-2026-121156: Dawn bileşeninde arabellek taşması (buffer overflow).
• CVE-2026-121035: Prerender bileşeninde serbest bırakılmış belleğin kullanılması (use-after-free). Google’a göre açığı Anthropic’ten Xinyang Ge, Claude’un yardımıyla bildirdi.
• CVE-2026-121126: Core bileşeninde use-after-free.
• CVE-2026-121203: Geometry bileşeninde use-after-free. Bu açık kodun korumalı alanın içinde çalıştırılmasına izin veriyor.
• CVE-2026-121229: Android’deki Chrome’un ANGLE bileşeninde bellek bozulması.
• CVE-2026-121246: Android’deki Chrome’un WebGL bileşeninde use-after-free.
• CVE-2026-121247: Android’deki Chrome’un Dawn bileşeninde arabellek taşması.

CVE kayıtlarında ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) CVE-2026-121156 için verdiği CVSS 3.1 puanı 9.6. Puana göre açık ağ üzerinden, giriş gerektirmeden istismar edilebiliyor, ancak kullanıcının özel hazırlanmış sayfayı açması gerekiyor.

Güncelleme

Güncel sürüm Linux’ta 157.0.8103.38, Windows ve Mac’te 157.0.8103.38 ya da 157.0.8103.39. Google güncellemenin önümüzdeki günlerde ve haftalarda kullanıcılara ulaşacağını belirtiyor. Chrome kendini otomatik güncelliyor, ancak güncelleme tarayıcı yeniden başlatılana kadar devreye girmiyor. Sürümü kontrol etmek için Ayarlar menüsünden “Chrome hakkında” sayfasını açmak, güncelleme varsa “Yeniden başlat” düğmesine basmak yeterli. Siber Güvenlik Başkanlığı da güncellemeyle ilgili TR-26-1448 numaralı bildirimi yayımladı.

Microsoft Edge, Brave ve Opera gibi tarayıcılar da Chrome’un temelindeki Chromium projesini kullanıyor. Bu açıklar onları da etkileyebileceği için bu tarayıcıları kullananların da kendi güncellemelerini takip etmesi gerekiyor.