Хром опять под огнём
Google латает очередной нулевой день, пока эксплойт уже гуляет по сети
Google снова бросает своих инженеров в бой: экстренный патч выкатили на поляну, потому что в Chrome обнаружили уже седьмой за год нулевой день, причём не просто обнаружили — его активно жарят в реальных атаках. На этот раз под раздачу попал V8 — старый добрый движок JavaScript, который любит давать «побаловаться памятью» тем, кто знает, куда ткнуть.
Уязвимость CVE-2025-13223 — это типичная type confusion, то есть момент, когда движок внезапно начинает путать, что за объект перед ним, и позволяет злоумышленнику заехать в память как в гараж без сторожа. Нашёл баг Клемент Лесинь из TAG — тех самых ребят, которые регулярно вытаскивают на свет госспонсируемые шпионские цепочки и красивые эксплойты для атак на журналистов, активистов и прочих неудобных людей.
Google уже выпустил обновления: версия 142.0.7444.175/176 для Windows, 176 для Mac и 175 для Linux. Патч уезжает по стабильному каналу, но если кто-то не любит ждать у моря погоды, можно зайти в Help → About Google Chrome и заставить браузер обновиться прямо сейчас.
Подробности по эксплойту Google, как обычно, придерживает в тайне, пока большинство пользователей не перейдут на исправленную версию, чтобы не подарить детали всем желающим «поиграться» с багом. Но уж факт эксплуатации подтверждён официально, значит где-то уже вовсю жарят нагрузки через V8.
Этот баг — седьмой нулевой день Chrome за 2025 год. До этого Google успевал латать шесть других в мае, июне, июле, сентябре и ещё пару раз. Некоторые использовались в шпионских операциях, другие — в атаках на высокорисковых пользователей, а третий комплект просто позволял злоумышленникам угонять учётки и ломать песочницу.
Если смотреть шире, за 2024 год Google уже затыкал десять других нулевых дней, часть которых появлялась на Pwn2Own, часть — в реальных атаках, так что традиция продолжается: Chrome снова главный поставщик экстренных обновлений в индустрии.
А пока Google закручивает гайки, остаётся напоминание старое как интернет: обновляйтесь сами и заставляйте обновляться всё вокруг, иначе в какой-то момент обновят уже вас.
Эта статья - только начало. Настоящие навыки появляются тогда, когда знания превращаются в практику. В Kraken Academy мы собрали полноценные курсы по информационной безопасности с лабораториями, практическими заданиями и пошаговыми образовательными треками - от первых шагов до уровня специалиста.
