Google, Chrome'da saldırılarda kullanılan XML açığını kapattı

Google, 9 Kasım’da Chrome’un kararlı (Stable) sürümünü Windows ve Mac için 157.0.8103.50 ve 157.0.8103.51’e, Linux için 157.0.8103.50’ye güncelledi. Google’a göre güncelleme dokuz güvenlik açığını kapatıyor. Sürüm notunda Google, XML bileşenindeki CVE-2026-125350 için bir istismarın gerçek saldırılarda bulunduğunun farkında olduğunu belirtti. Google aynı gün Android için de Chrome 157.0.8103.50’yi yayımladı.

Saldırılarda kullanılan açık

CVE-2026-125350, Chrome’un XML bileşeninde use-after-free açığı. Bu tür açıklar, bir programın serbest bıraktığı bir bellek alanını yeniden kullanmasından kaynaklanıyor. Google açığı yüksek önemde olarak sınıflandırdı. Sürüm notuna göre açığı 6 Kasım’da adı açıklanmayan bir araştırmacı bildirdi, yani açık bildirildikten üç gün sonra kapatıldı.

Google saldırıların kime yönelik olduğunu ve nasıl yapıldığını açıklamadı. Google’a göre hata ayrıntılarına ve bağlantılarına erişim, kullanıcıların çoğu düzeltmeyi alana kadar kısıtlı tutulabiliyor. 10 Kasım sabahı itibarıyla açığın CVE kaydı yayımlanmadı, bu yüzden açık için bir CVSS puanı yok. Açık ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) saldırılarda kullanılan açıklar listesinde (KEV) de henüz yer almıyor. SecurityWeek’e göre CVE-2026-125350, Chrome’da bu yıl saldırılarda kullanılan sekizinci sıfırıncı gün açığı.

Kapatılan diğer açıklar

Güncellemeyle kapatılan diğer sekiz açık şunlar:

• CVE-2026-125346 (yüksek): XML bileşeninde ikinci bir use-after-free açığı. Neonix Security’den Arni Hardarson 12 Ekim’de bildirdi.
• CVE-2026-125344 (yüksek): V8 JavaScript motorunda tür karışıklığı (type confusion).
• CVE-2026-125343 (yüksek): Compositing bileşeninde arabellek taşması (buffer overflow).
• CVE-2026-125348 (yüksek): GPU bileşeninde ayrılan alanın dışına yazma (out of bounds write).
• CVE-2026-125345 (yüksek): WebGL’de başlatılmamış bir kaynağın kullanılması.
• CVE-2026-125347 (yüksek): FileSystem bileşeninde hatalı yetkilendirme.
• CVE-2026-125349 (orta): GPU bileşeninde başlatılmamış bir kaynağın kullanılması.
• CVE-2026-125342 (orta): GPU bileşeninde başlatılmamış bir kaynağın kullanılması. Vo Duc Thang bildirdi.

Sürüm notuna göre bu sekiz açıktan altısını Google’ın kendisi buldu. Google 3 Kasım’da da Chrome 157 ile 213 açığı kapatmıştı, o güncellemede saldırılarda kullanılan bir açık bildirilmemişti.

Güncel sürümler

• Windows ve Mac: 157.0.8103.50 ya da 157.0.8103.51.
• Linux: 157.0.8103.50.
• Android: 157.0.8103.50. Google’a göre güncelleme önümüzdeki günlerde Google Play’de kullanıma sunulacak.
• Extended Stable (Windows ve Mac): 156.0.8078.96. Google’a göre bu sürüm CVE-2026-125350 dahil 11 açığı kapatıyor.

Google’a göre masaüstü güncellemesi önümüzdeki günlerde ve haftalarda kullanıcılara dağıtılacak. Açık saldırılarda kullanıldığı için tarayıcının sürümünü kontrol edip güncellemeyi beklemeden yüklemek ve tarayıcıyı yeniden başlatmak gerekiyor.