Браузеры (новости, обсуждение)

[сергей 999s]

В Chrome исправлена уязвимость «нулевого дня», которая применялась в реальных атаках

Google выпустила экстренное обновление Chrome для Windows, macOS и Linux, устраняющее уязвимость нулевого дня CVE-2026-11645. Ошибка в движке V8 уже использовалась в реальных атаках и могла позволить злоумышленникам выполнять код и получать доступ к данным браузера

Спойлер   :

Компания Google выпустила экстренные обновления для Chrome, чтобы закрыть новую уязвимость «нулевого дня», которая уже использовалась в реальных атаках. Это пятая такая уязвимость в Chrome, исправленная с начала года.

В бюллетене безопасности компания сообщила:

Google знает, что эксплойт для CVE-2026-11645 уже существует и используется в реальных условиях.

Исправление выпущено для пользователей стабильной версии Chrome для дестопных систем. Обновления постепенно распространяются по всему миру:

Windows: 149.0.7827.102
macOS: 149.0.7827.103
Linux: 149.0.7827.102
Уязвимость была исправлена спустя две недели после того, как о ней сообщил анонимный исследователь безопасности.

Google предупреждает, что обновление безопасности может доходить до всех пользователей Chrome в течение нескольких дней или недель. Пользователям, которые не хотят обновлять браузер вручную, можно просто дождаться автоматической проверки Chrome: браузер сам установит обновление при следующем запуске.

Уязвимость CVE-2026-11645 получила высокий уровень серьезности. Она связана с ошибкой чтения и записи за пределами допустимой области памяти в JavaScript-движке Chrome V8. Удаленный злоумышленник может использовать специально созданные HTML-страницы, чтобы выполнить произвольный код внутри песочницы браузера.

При успешной эксплуатации атака позволяет получить доступ к данным за пределами выделенного буфера памяти через повреждение кучи. Это может привести к раскрытию конфиденциальной информации или аварийному завершению работы браузера.

Кроме доступа к памяти за пределами допустимой области, исправленная уязвимость также могла использоваться для обхода защитных механизмов, например ASLR. Это упрощало выполнение кода при наличии еще одной уязвимости.

Google подтвердждает, что знает об использовании уязвимости «нулевого дня» CVE-2026-11645 в атаках, но пока не раскрывает подробности этих инцидентов.

Компания поясняет:

Доступ к подробностям об ошибке и ссылкам может оставаться ограниченным до тех пор, пока большинство пользователей не установят исправление. Мы также сохраним ограничения, если уязвимость существует в сторонней библиотеке, от которой аналогичным образом зависят другие проекты, но которые еще не выпустили исправление.

С начала года Google исправил еще четыре уязвимости «нулевого дня» Chrome, которые использовались в атаках:

CVE-2026-2441 — ошибка инвалидации итератора в CSSFontFeatureValuesMap, реализации CSS font feature values в Chrome. Исправлена в середине февраля.
CVE-2026-3909 — ошибка записи данных за пределами памяти в графической библиотеке Skia 2D. Исправлена в марте.
CVE-2026-3910 — некорректная реализация в движке V8 JavaScript и WebAssembly. Исправлена в марте.
CVE-2026-5281 — уязвимость использования данных после освобождения памяти в Dawn, кроссплатформенной реализации стандарта WebGPU, используемой Chromium. Исправлена в апреле.
В прошлом году Google исправила еще восемь уязвимостей «нулевого дня» в Chrome, которые эксплуатировались в реальных атаках. Многие из них были обнаружены специалистами Google Threat Analysis Group — подразделения, которое отслеживает, в том числе, эксплойты «нулевого дня», применяемые в шпионских атаках.

[сергей 999s]

Релиз Chrome 150

Компания Google опубликовала релиз web-браузера Chrome 150. Одновременно доступен стабильный выпуск свободного проекта Chromium, выступающего основой Chrome. Браузер Chrome отличается от Chromium использованием логотипов Google, наличием системы отправки уведомлений в случае краха, модулями для воспроизведения защищённого от копирования видеоконтента (DRM), системой автоматической установки обновлений, постоянным включением Sandbox-изоляции, поставкой ключей к Google API и передачей RLZ-параметров при поиске. Для тех, кому необходимо больше времени на обновление, отдельно поддерживается ветка Extended Stable, сопровождаемая 8 недель. Следующий выпуск Chrome 151 запланирован на 28 июля.

Спойлер   :

Основные изменения в Chrome 150 (1, 2, 3, 4):

Предложены первые результаты инициативы по обновлению оформления интерфейса на разных операционных системах и его избавления от излишеств. Задействованы новые пиктограммы с более сглаженными границами и анимационные эффекты для кнопок, таких как кнопки открытия главного меню и перезагрузки страницы. Упрощена структура контекстных меню, из которых исключены редко используемые или дублирующиеся элементы. Задействовано более современное оформление конфигуратора, менеджера загрузок и страницы для навигации по закладкам.

Продолжено развитие AI-режима, позволяющего взаимодействовать с AI-агентом из адресной строки или со страницы, показываемой при открытии новой вкладки. В новой версии добавлена возможность подключения Chrome к AI-агенту Gemini Spark для автономного выполнения действий в текущей активной вкладке в процессе решения поставленных задач, требующих взаимодействия с web-контентом (нажатие на кнопки, переход по ссылкам, заполнение форм и т.п.). Кроме того, добавлен вывод контекстных рекомендаций по задействованию Gemini при работе с браузером, например, при открытии большой статьи Chrome предложит резюмировать информацию при помощи Gemini, а при редактировании текста в форме порекомендует проверить или исправить текст через Gemini.

У части пользователей задействован единый упрощённый интерфейс для привязки к учётной записи в Google и синхронизации данных, таких как сохранённые пароли и закладки. Синхронизация интегрирована с входом в учётную запись и не преподносится как отдельная возможность в настройках. Пользователи могут подключить Chrome к учётной записи в Google и использовать её для хранения паролей, закладок, истории посещений и вкладок. Данные для автозаполнения адресов и автодополнения ввода теперь не синхронизируются между устройствами и хранятся только на локальной системе.
У части пользователей, активировавших режим расширенной защиты браузера (Enhanced Safe Browsing), включена функция "HTTPS-First", выполняющая автоматическое перенаправление HTTP-запросов на HTTPS. Для обеспечения работы с сайтами, не поддерживающими HTTPS, реализован откат на HTTP, если после перенаправления не удаётся выполнить запрос по HTTPS или возникают проблемы с сертификатами. При попытке открытия сайта по HTTP выводится специальное предупреждение. В Chrome 154 режим планируют включить по умолчанию для всех публично доступных сайтов, размещаемых не в интранет сетях, таких как 192.168.0.1 и 10.0.0.0/8.
Удалена поддержка флага kExtensionManifestV2Disabled, позволявшего вернуть возможность установки из каталога Chrome Web Store дополнений, использующих вторую версию манифеста Chrome. В следующем выпуске Chrome 151 будет удалён параметр AllowLegacyMV2Extensions, позволявший вручную в режиме разработчика загружать дополнения на базе второй версии манифеста. Отмеченные флаги позволяли обходным путём установить дополнение uBlock Origin.
Обработчики Web Worker, созданные с использованием URI "data:" (например, через "new Worker('data:text/javascript....')", теперь изолируются от страницы, на которой были созданы, и не имеют доступа к локальным хранилищам и Cookie в контексте текущего домена. Изменение позволяет блокировать использование Web Worker-ов, не загруженных с сервера, а на лету созданных через "data:", для доступа к конфиденциальным данным в процессе XSS-атак.
Реализована защита от атак, манипулирующих ограничением на максимальное число соединений к прокси в качестве скрытого канала связи между JavaScript-кодом, выполняемым в разных вкладках, или для определения посещался ли определённый сайт ранее. Например, атакующий может занять все доступные соединения к прокси, оставив не занятым лишь один сокет, после чего анализировать его доступность при обращении к статичному ресурсу - если сокет не занят, ресурс с проверяемого сайта отдан из кэша, т.е. пользователь уже загружал его ранее. Лимит на максимальное число соединений к TCP-сокетам прокси теперь варьируется случайным образом.
Запрещено применение SVG-фильтров к чужим (cross-origin) или изолированным (sandboxed) iframe-блокам, а также к плагинам (например, встроенному PDF-просмотрщику). Ограничение позволяет защититься от атак по сторонним каналам, типа GPU.zip, и атак класса SVG Clickjacking, при которых SVG-фильтры используются для наложение прозрачного содержимого на другой контент с целью подстановки невидимой кнопки, например, поверх кнопки закрытия окна с рекламой.
Для обособленных web-приложений (PWA, Progressive Web App) предоставлена возможность переноса на новый поддомен в пределах одного базового домена (например, замены drive.example.com на fileman.example.com) без участия пользователя (ранее PWA-приложение привязывалось к исходному домену и в случае смены подомена, например, при ребрендинге или реструктуризации, ручная переустановка).
В TLS включена по умолчанию поддержка алгоритма формирования цифровой подписи ML-DSA (CRYSTALS-Dilithium), стойкого от подбора на квантовом компьютере.
В версии для Android реализована поддержка стандарта FIDO Alliance Credential Exchange, позволяющего импортировать и экспортировать сохранённые пароли и параметры биометрической идентификации с использованием сквозного шифрования на стороне клиента, например, для защищённого переноса между Google Password Manager и сторонними менеджерами паролей.
В версии для Android в конфигураторе предложен новый унифицированный интерфейс для управления сохраняемыми паролями и данными автозаполнения форм. Идея в том, чтобы пользователь разом мог получить информацию о разных классах сохраняемых браузером конфиденциальных данных, таких как пароли, данные биометрической аутентификации, адреса и паспортные данные.

Добавлено CSS-свойство "text-fit" для автоматического масштабирования размер шрифта, чтобы текст вписывался в ширину родительского контейнера (например, когда нужно разместить заголовок в заданной области без переноса хвоста на другую строку или адаптировать шрифт для разных разрешений экрана).
В CSS-свойствео"background-clip добавлена поддержка параметра "border-area", упрощающего создание границ с градиентом, благодаря отрисовке фона элемента строго в зоне, которую занимает рамка.
Добавлена CSS-функция image(), позволяющая сгенерировать изображение с заливкой заданным цветом.
В режиме Origin trials началось тестирование протокола EVP (email verification protocol) для автоматического криптографического подтверждения владения email без необходимости отправки на почту одноразовых кодов подтверждения.
Добавлен HTML-атрибут focusgroup для декларативного управления переключением фокуса ввода с клавиатуры внутри составных компонентов, таких как меню, без использования JavaScript. Например, после выхода из группы элементов клавишей Tab и возвращения обратно, браузер вернёт фокус на последний активный элемент, а не на первый элемент в списке.
Внесены улучшения в инструменты для web-разработчиков. Добавлены возможности для инспектирования и отладки инструментария WebMCP, применяемого для интеграции сайтов с AI-агентами при помощи протокола MCP. В панели со стилями разрешено редактирование по месту правил "@container", "@counter-style" и "@function".

Кроме нововведений и исправления ошибок в новой версии устранено 433 уязвимости. Многие из уязвимостей выявлены в результате автоматизированного тестирования инструментами AddressSanitizer, MemorySanitizer, Control Flow Integrity, LibFuzzer и AFL. Двадцати проблемам присвоен критический уровень опасности, подразумевающий, что уязвимости позволяют обойти все уровни защиты браузера и выполнить код в системе за пределами sandbox-окружения. 14 критических проблем вызваны обращением к уже освобождённой памяти (use-after-free), 3 - недостаточной проверкой не заслуживающих доверия входных данных, 2 - переполнением буфера и 1 - неправильной обработкой типов (Type Confusion). В рамках программы по выплате денежного вознаграждения за обнаружение уязвимостей для текущего релиза компания Google выплатила 319 тысяч долларов США (одна премия в 250 тысяч долларов (CVE-2026-14382 в библиотеке ANGLE), три премии по $10000, $2500, $2000 и $1000, две премии $3000 и по одной премии $8000, $5000 и $4000.

[сергей 999s]

Релиз Chrome 151

Компания Google опубликовала релиз web-браузера Chrome 151. Одновременно доступен стабильный выпуск свободного проекта Chromium, выступающего основой Chrome. Браузер Chrome отличается от Chromium использованием логотипов Google, наличием системы отправки уведомлений в случае краха, модулями для воспроизведения защищённого от копирования видеоконтента (DRM), системой автоматической установки обновлений, постоянным включением Sandbox-изоляции, поставкой ключей к Google API и передачей RLZ-параметров при поиске. Для тех, кому необходимо больше времени на обновление, отдельно поддерживается ветка Extended Stable, сопровождаемая 8 недель. Следующий выпуск Chrome 152 запланирован на 25 августа.

Спойлер   :

Основные изменения в Chrome 151 (1, 2, 3, 4):

На странице, показываемой при открытии новой вкладки, реализована возможность автоматического скрытия панели закладок, если пользователь ей регулярно не пользуется. После скрытия пользователю показывается уведомление, позволяющее в один клик вернуть панель. Помимо этого, в конфигуратор в раздел "Appearance" добавлена опция для управления показом панели закладок при открытии новой вкладки. Автоскрытие включено для небольшой части пользователей и будет постепенно доводиться до остальных.
Продолжено развитие AI-режима, позволяющего взаимодействовать с AI-агентом из адресной строки или со страницы, показываемой при открытии новой вкладки. В новой версии AI-ассистент Gemini предложен для пользователей из Великобритании и ещё 14 стран. Предоставлена возможность использования Gemini для обработки и генерации файлов.
Например, пользователь может загрузить в Gemini файлы и задать вопросы по содержимому или использовать для выявления различий в содержимом открытой вкладки. Gemini также теперь может применяться для генерации файлов, таких как документы Google Docs, электронные таблицы и PDF-файлы. Улучшена AI-модель для блокирования мошеннических действий, применяемая в режиме Safe Browsing и позволяющая обнаруживать вредоносные сайты на раннем этапе до попаданиях их в чёрные списки.

В адресной строке обеспечен показ кнопки открытия AI-чата для всех поисковых систем, обеспечивающих подобную возможность, а не только для поисковой системы по умолчанию.
Во встроенном PDF-просмотрщике реализованы функции для добавления и редактирования текстовых аннотаций, которые, среди прочего, можно использовать для подстановки подписи, чтобы избежать распечатки, ручного подписания и сканирования документа с подписью. Можно помещать поля ввода текста в произвольные части PDF-документа, вводить информацию и настраивать шрифт, цвет и стиль. Пользователь может произвольно перемещать данные поля, изменять их размер и удалять перед тем как сохранить финальный документ со встроенными аннотациями.

Удалён параметр AllowLegacyMV2Extensions, позволявший вручную в режиме разработчика загружать дополнения на базе второй версии манифеста. Данный флаг применялся для установки дополнения uBlock Origin обходным путём.
Задействован новый движок для разбора XML, написанный на языке Rust с целью исключения ошибок, вызванных некорректной работой с памятью. Помимо XSLT, ранее объявленного устаревшим и намеченного для удаления, новый парсер задействован в API DOMParser, методе XMLHttpRequest.responseXML и при обработке SVG-изображений.
В версиях для Linux и macOS изменено визуальное оформление интерфейса для создания профилей (функциональность осталась прежней). Улучшен интерфейс создания профиля при первом запуске в Windows, в котором задействована анимация и звуки, а в конце процесса опционально показывается демонстрация таких возможностей, как Google Lens, менеджера паролей и настройки темы оформления.

Прекращена поддержка macOS 12, для установки Chrome 151 требуется как минимум версия macOS 13, выпущенная в октябре 2022 года.
Добавлен HTTP-элемент <usermedia>, предназначенный для вставки на страницу кнопок и ссылок для вызова интерфейса подтверждения доступа к камере и микрофону, предоставляемого соответствующими JavaScrip API. Элемент позволяет обойтись без использования JavaScript-метода getUserMedia(), беря не себя работу по запросу разрешений и предоставлению приложению объекта MediaStream.
В HTML-элемент <template> добавлена поддержка атрибута "shadowrootslotassignment", позволяющего использовать декларативный синтаксис для определения того, как элементы распределяются в слоты внутри Shadow DOM.
В API PerformanceObserver добавлены новые типы собираемой статистики "soft-navigation" и "interaction-contentful-paint", позволяющие отслеживать активность пользователя на одностраничных web-приложениях (SPA, single-page application), включая такие метрики, как LCP (Largest Contentful Paint, время отрисовки наиболее крупного изображения или текста на этапе до того, как пользователь начнёт взаимодействие со страницей) и INP (Interaction to Next Paint, время отрисовки нового контента после клика). В контексте одностраничных web-приложений метрика LCP не привязывается к переходу на новую страницу, а отчитывается относительно клика по ссылке в внутри одной страницы.
Внесены улучшения в инструменты для web-разработчиков.
Устранено 370 уязвимостей, из которых семи присвоен критический уровень опасности.

[сергей 999s]

В Chrome развивают возможность исправления ошибок без перезапуска браузера

Компания Google сообщила о намерении реализовать в Chrome механизм динамического применения патчей, позволяющий устранять уязвимости без необходимости полного перезапуска браузера. Идея в том чтобы вносить изменения на лету в исполняемые файлы и последовательно заменять дочерние процессы, такие как процессы отрисовки и взаимодействия с GPU.

Необходимость применения обновлений без перезапуска браузера обусловлена тем, что многие пользователи не спешат перезапускать браузер при наличии обновлений, чтобы не нарушать работу с сервисами, открытыми в браузере. Помимо динамического применения патчей ведётся работа над более продвинутой системой восстановления сеансов, сохраняющей больше параметров локально, а также над эвристикой для выбора оптимального времени автоматического перезапуска, гарантирующей бесшовное восстановление сеанса.

[сергей 999s]

Релиз Chrome 152

Компания Google опубликовала релиз web-браузера Chrome 152. Одновременно доступен стабильный выпуск свободного проекта Chromium, выступающего основой Chrome. Браузер Chrome отличается от Chromium использованием логотипов Google, наличием системы отправки уведомлений в случае краха, модулями для воспроизведения защищённого от копирования видеоконтента (DRM), системой автоматической установки обновлений, постоянным включением Sandbox-изоляции, поставкой ключей к Google API и передачей RLZ-параметров при поиске. Для тех, кому необходимо больше времени на обновление, отдельно поддерживается ветка Extended Stable, сопровождаемая 8 недель. Следующий выпуск Chrome 153 в рамках нового двухнедельного цикла разработки запланирован на 8 сентября.

Спойлер   :

Основные изменения в Chrome 152:

Реализована, но пока не включена по умолчанию, собственная схема URI "googlechrome://", позволяющая внешним сайтам, открытым в других браузерах, при переходе по ссылке вызывать Chrome для отображения страницы.
На 31 августа намечено удаление из каталога Chrome Web Store всех дополнений, использующих вторую версию манифеста Chrome, определяющего возможности и ресурсы, доступные для дополнений, написанных с использованием API WebExtensions. Уже установленные дополнения останутся на системах пользователей, но не смогут получать обновления и их нельзя будет переустановить в случае удаления из браузера.
Протокол CUP (Client Update Protocol), применяемый при обращении к серверам доставки обновлений компонентов браузера и расширений, переведён на использование постквантовых алгоритмов шифрования.
В сборках для Windows добавлена возможность использования Windows ACL для блокирования чтения и изменения памяти процессов Chrome. Так как блокировка может вызвать проблемы с совместимостью с некоторыми антивирусными пакетами, системами предотвращения утечек данных или средствами для людей с ограниченными возможностями, отмеченный механизм защиты не включён по умолчанию (для активации следует выставить флаг chrome://flags/#enable-process-isolation-ui flag to Enabled и выбрать режим изоляции процесса на странице chrome://settings/system).
Для изолированных web-приложений (IWA, Isolated Web App) предоставлена возможность создания субприложений, позволяющих в рамках одной IWA-установки поставлять несколько программ, имеющих свои имена, пиктограммы и средства интеграции с системой (например, ассоциации для обработки определённых типов файлов). Подобные субприложения отображаются как отдельные программы, но поставляются в одном общем пакете. В версии для ChromeOS дополнительно для IWA-программ реализован безрамочный режим открытия, при котором содержимое приложения раскрывается на всё пространство окна браузера, заменяя среди прочего рамки и заголовок.
В версии для Android при включении режима расширенной защиты (Safe Browsing > Enhanced protection) обеспечен вывод предупреждений об открытии потенциально вредоносных сайтов. Предупреждение блокирует открытие сайта до того как пользователь подтвердит операцию.
В версии для Android добавлен новый унифицированный экран для управления автозаполнением и паролями, сводящий в одном месте данные, применяемые при автозаполнении форм, такие как адреса и пароли.
Добавлен API CPU Performance для получения информации об уровне производительности и характеристиках процессора. В настройках (Settings > Performance > Speed > Override CPU performance tier) предоставлена возможность ручной установки уровня производительности, сообщаемого сайтам. Доступны следующие уровни: 0 - производительность не известна, 1 - низкая производительность, 2 - средняя, 3 - высокая, 4 - ультра.
В программный интерфейс CSSPseudoElement, позволяющий работать с псеведоэлементами CSS из JavaScript, добавлена поддержка псеведоэлементов "::backdrop" (для обработки действий с фоном модальных окон, например, можно организовать закрытие диалога при клике на фоновой области), "::scroll-marker" (для обработки событий взаимодействия с индикаторами прокрутки) и "::view-transition" (для перехвата анимации перехода из одного состояния в другое).
Реализован HTTP-заголовок Connection-Allowlists, через который можно передать список шаблонов URL, по которым странице разрешено отправлять сетевые запросы. При выставлении заголовка выполняемый в контексте страницы JavaScript-код или Web Worker-ы не смогут обратиться к URL, не подпадающим под указанный список.
В CSS добавлена функция alpha(), позволяющая изменить альфа-канал (степень прозрачности) для указанного цвета.
Добавлено CSS-свойство window-drag, позволяющее определить область окна десктопных web-приложений (PWA), обрабатываемую как заголовок окна, за который окно можно переместить мышью.
Для редактируемых HTML-элементов, таких как <input> и <textarea>, добавлен атрибут "autocorrect", позволяющий управлять применением автокоррекции к данным, вводимым пользователем.
Кроме нововведений и исправления ошибок в новой версии устранено 327 уязвимостей. Десяти проблемам присвоен критический уровень опасности, подразумевающий, что уязвимости позволяют обойти все уровни защиты браузера и выполнить код в системе за пределами sandbox-окружения. 8 критических проблем вызваны обращением к уже освобождённой памяти (use-after-free), 1 - недостаточной проверкой не заслуживающих доверия входных данных и 1 - использованием неинициализированных переменных.

Дополнительно можно отметить реализацию экспериментальной поддержки поставки Chrome для Linux в пакетах в формате Flatpak, взаимодействие с системой при использовании которых осуществляется через применение XDG-порталов.

[сергей 999s]

Релиз Firefox 156

Состоялся релиз web-браузера Firefox 156 и сформированы обновления прошлых веток с длительным сроком поддержки - 153.3.0, 140.16.0 и 115.41.0. В рамках нового двухнедельного цикла формирования релизов на стадию бета-тестирования переведена ветка Firefox 157, релиз которой намечен на 29 сентября.

Основные новшества в Firefox 156 (1, 2, 3):

На 45% ускорен запуск встроенного PDF-просмотрщика.
Снижено потребление памяти и уменьшена нагрузка на CPU при отображении больших JPEG-изображений, отмасштабированных для того, чтобы вместиться на страницу.
На платформе Windows с процессорами на базе архитектуры ARM64 в видеовызовах на базе WebRTC задействовано аппаратное ускорение декодирования потоков H264.
На платформе macOS добавлена возможность автоматического открытия браузера после загрузки компьютера.
CSS-свойство text-box-trim, определяющее область обрезки отступов вокруг текста, теперь рассчитывает размеры обрезки с учётом метрик шрифта, применяемого для отрисовки первой строки текста, стилизованной при помощи псевдоэлемента "::first-line".
В версии для платформы Android добавлен встроенный VPN с 50 ГБ ежемесячного трафика (активириван для части пользователей). Добавлена возможность смены позиции в воспроизводимом в браузере видео или музыке прямо из области уведомлений. Задействовано предоставляемое платформой Android меню для обмена данными (share) c дополнительными опциями, такими как отправка вкладки на другое устройство и сканирование QR-кода.
Кроме новшеств и исправления ошибок в Firefox 156 устранено 74 уязвимостей, большинство из которых вызваны проблемами при работе с памятью, такими как переполнения буферов и обращение к уже освобождённым областям памяти. Потенциально данные проблемы способны привести к выполнению кода злоумышленника при открытии специально оформленных страниц.