נקודות עיקריות
- גוגל שחררה את דפדפן Chrome 153 עם 230 תיקוני אבטחה, בהם חולשת יום אפס שנוצלה בפועל.
- הפרצה זוהתה במנוע ה-JavaScript וה-WebAssembly המכונה V8 ומאפשרת הרצת קוד זדוני בארגז החול.
- דפדפנים נוספים המבוססים על Chromium צפויים להפיץ את התיקון לפי לוחות הזמנים של מפתחיהם.
- הגרסה החדשה מקצרת את מחזור הפצת העדכונים של הדפדפן לשבועיים בלבד במקום ארבעה.
גוגל (Google) שחררה את גרסת Chrome 153, הכוללת 230 תיקוני אבטחה שונים. במרכז העדכון עומדת חולשת יום אפס (Zero-Day) שסומנה כ-CVE-2026-87491, אשר לפי החברה כבר נוצלה בפועל ברשת לפני שהופץ התיקון.
החולשה, שדורגה ברמת חומרה בינונית (Medium), נובעת משגיאת כתיבה מחוץ לגבולות הזיכרון (out-of-bounds write) במנוע V8 המשמש להרצת JavaScript ו-WebAssembly. כשל זה מאפשר לתוקף מרוחק להריץ קוד שרירותי בתוך ארגז החול (Sandbox) באמצעות דף אינטרנט ייעודי ומותאם מראש.
ארגז החול הוא סביבה מבודדת שבה הדפדפן מריץ תוכן מאתרים, כך שקוד זדוני לא יוכל לגשת ישירות למערכת ההפעלה ולקבצים. לכן, למרות שהחולשה נוצלה בפועל, תוקפים נדרשים בדרך כלל לשלב אותה עם פרצה נוספת כדי לחמוק מהבידוד ולהשתלט על המחשב.
פרצות קריטיות ודפדפנים מושפעים
לצד חולשת יום האפס, העדכון מטפל בחמש פרצות אבטחה שגוגל הגדירה ברמת חומרה קריטית. ארבע מהן אותרו ברכיב WebGL המציג גרפיקה תלת-ממדית, ואילו החמישית נוגעת לרכיב ה-Cast המשדר תכנים מהדפדפן למסכי טלוויזיה. מתוך 230 התיקונים בגרסה, 35 דווחו על ידי חוקרים חיצוניים.
מכיוון שמנוע V8 מהווה חלק מליבת הפרויקט הפתוח Chromium, השפעת הפרצה חורגת מעבר לדפדפן של גוגל. דפדפנים מתחרים המבוססים על אותו קוד מקור, כגון Microsoft Edge, Opera, Brave ו-Vivaldi, צפויים להטמיע את התיקון בגרסאות משלהם לפי לוחות הזמנים של כל מפתחת.
מעבר לקצב עדכונים דו-שבועי ויישום התיקון
עדכון Chrome 153 מסמן גם שינוי במדיניות ההפצה של גוגל, עם מעבר לקצב שחרור גרסאות יציבות ובטא בכל שבועיים במקום כל ארבעה שבועות במחשבים, אנדרואיד ו-iOS. הגרסה הבאה, Chrome 154, צפויה להגיע כבר ב-22 בספטמבר כדי לקצר את זמן ההמתנה לעדכוני תוכנה ותיקוני אבטחה.
הגרסה החדשה מופצת כעת בהדרגה ומסומנת כ-153.0.8010.36 או 153.0.8010.37 במערכות ווינדוס ו-macOS, ו-153.0.8010.36 במערכות לינוקס.
