هشدار گوگل درباره سوءاستفاده از آسیب‌پذیری روز صفر جدید کروم در حملات

به‌روزرسانی جدید کروم برای رفع آسیب‌پذیری روز صفر

گوگل در چارچوب انتشار تدریجی (Gradual Rollout) این به‌روزرسانی امنیتی، نسخه 152.0.7977.82/.83 را برای ویندوز و مک‌اواس (macOS) و نسخه 152.0.7977.82 را برای لینوکس (Linux) منتشر کرده است. این به‌روزرسانی، آسیب‌پذیری روز صفر CVE-2026-85046 را برطرف می‌کند.

گوگل برای آنکه کاربران و پروژه‌های وابسته به کروم فرصت کافی برای اعمال پچ امنیتی را داشته باشند، از انتشار جزئیات فنی و اطلاعات دقیق درباره نحوه سوءاستفاده از این آسیب‌پذیری خودداری کرده است.

نحوه سوءاستفاده از این آسیب‌پذیری روز صفر

آسیب‌پذیری‌های سردرگمی نوع داده (Type Confusion) زمانی رخ می‌دهند که نرم‌افزار یک Object را به‌اشتباه متعلق به نوع داده دیگری تشخیص دهد. این خطای پردازشی می‌تواند باعث خرابی حافظه (Memory Corruption) شود و در شرایط خاص، مهاجم را قادر کند با دست‌کاری حافظه برنامه، از این ضعف امنیتی برای اجرای کد مخرب سوءاستفاده کند.

موتور V8، موتور متن‌باز جاوااسکریپت(JavaScript)  و وب اسمبلی (WebAssembly) در مرورگر کروم است و وظیفه پردازش، کامپایل و اجرای کدهای مورد استفاده در وب‌سایت‌ها را بر عهده دارد. به همین دلیل، وجود یک آسیب‌پذیری در این بخش می‌تواند امنیت مرورگر و کاربران آن را با  ریسک جدی مواجه کند.

بر اساس یک سناریوی احتمالی، مهاجم با ایجاد یک صفحه HTML دست‌کاری‌شده و حاوی کدهای مخرب جاوااسکریپت می‌تواند زمینه سوءاستفاده از CVE-2026-85046 را فراهم کند. این آسیب‌پذیری روز صفر در صورت موفقیت حمله می‌تواند امکان اجرای کد از راه دور (RCE) را در پردازه رندر کروم (Renderer Process) برای مهاجم فراهم کند. این پردازه در محیط سندباکس (Sandbox) اجرا می‌شود.

سایر آسیب‌پذیری‌های پچ‌شده کروم

این به‌روزرسانی علاوه بر آسیب‌پذیری CVE-2026-85046، 9 آسیب‌پذیری با شدت بالا (High-Severity) دیگر را نیز برطرف کرده است. این ضعف‌های امنیتی شامل آسیب‌پذیری‌های استفاده پس از آزادسازی حافظه (Use-After-Free) و دسترسی خارج از محدوده حافظه (Out-of-Bounds Memory) در بخش‌ها و کامپوننت‌های مختلف کروم، از جمله گزارش کرش (Crash Reporting)، شبکه، کامپوزیتینگ (Compositing)، WebGL، ذخیره‌سازی کش، ابزارهای توسعه‌دهنده  و کتابخانه گرافیکی Skia هستند. علاوه بر این، یک آسیب‌پذیری از نوع شرایط رقابتی (Race Condition) نیز در موتور V8 برطرف شده است.

CVE-2026-85046 ششمین آسیب‌پذیری روز صفر کروم محسوب می‌شود که گوگل از ابتدای سال 2026 تاکنون پس از شناسایی تلاش‌های سوءاستفاده مهاجمان در حملات واقعی، برای آن پچ امنیتی منتشر کرده است. این موارد نشان می‌دهند آسیب‌پذیری روز صفر همچنان یکی از تهدیدهای جدی برای امنیت مرورگرهای وب محسوب می‌شود.

مهم‌ترین آسیب‌پذیری‌هایی که گوگل در سال جاری برطرف کرده است عبارتند از:

• CVE-2026-11645: یک آسیب‌پذیری از نوع خواندن و نوشتن خارج از محدوده حافظه (Out-of-Bounds Read/Write) در موتور جاوااسکریپت V8 بود که در حملات واقعی مورد سوءاستفاده قرار گرفت و در ماه ژوئن پچ شد.
• CVE-2026-2441: یک آسیب‌پذیری از نوع نامعتبر شدن تکرارگر یا به عبارتی ایتریتور (Iterator Invalidation) در CSSFontFeatureValuesMap بود. این کامپوننت، قابلیت‌های مربوط به ویژگی‌های فونت CSS را در کروم پیاده‌سازی می‌کند. گوگل این آسیب‌پذیری را در اواسط فوریه برطرف کرد.
• CVE-2026-3909 و CVE-2026-3910: دو آسیب‌پذیری روز صفر دیگر که در حملات ماه مارس مورد سوءاستفاده قرار گرفتند. CVE-2026-3909از نوع نوشتن خارج از محدوده حافظه در کتابخانه گرافیکی دوبعدی Skia بود. CVE-2026-3910 نیز از نوع پیاده‌سازی نامناسب (Inappropriate Implementation) در موتور جاوااسکریپت و وب‌اسمبلی یعنی V8بود.
• CVE-2026-5281: این آسیب‌پذیری از نوع استفاده پس از آزادسازی حافظه (Use-After-Free) در کامپوننت Dawn بود. Dawn یک پیاده‌سازی چندسکویی (Cross-Platform)از استاندارد WebGPU است که در کرومیوم (Chromium) مورد استفاده قرار می‌گیرد. گوگل این ضعف امنیتی را در ماه آوریل با انتشار یک پچ امنیتی برطرف کرد.

نحوه دریافت و نصب پچ امنیتی کروم

گوگل به کاربران کروم توصیه کرده است به‌محض انتشار نسخه جدید، مرورگر خود را به‌روزرسانی کنند. کاربران برای بررسی و دریافت آخرین نسخه می‌توانند از بخش تنظیمات (Settings) به گزینه اطلاعات کروم (About Chrome) مراجعه کنند. کروم در این بخش به‌صورت خودکار نسخه مرورگر را بررسی می‌کند. در صورت در دسترس بودن نسخه جدید، فرآیند دریافت و نصب به‌روزرسانی نیز آغاز می‌شود.