Chrome закрыл шестую 0-day-уязвимость в 2026 году

Утром попалось на глаза: Google выпустила патч для Chrome, в котором закрыли шестую 0-day-уязвимость за 2026 год. Самая серьёзная — в движке V8, позволяет выполнить произвольный код через вредоносную HTML-страницу. Уязвимость уже активно используют в атаках, и она затрагивает всех, кто пользуется Chrome, Edge, Brave и другими браузерами на базе Chromium. Патчи вышли в версиях 152.0.7977.82 и выше.

Считаю, что главный риск здесь — не в том, что сайт уязвим сам по себе, а в том, что его могут использовать как точку входа для атак на пользователей. Если на сайте есть уязвимость, позволяющая вставить JavaScript, то злоумышленник может подменить контент и запустить эксплойт через браузер пользователя. Это не просто «вирус на сайте» — это возможность скомпрометировать посетителей, включая тех, кто не заходил на сайт, но просто перешёл по ссылке из письма или соцсети.

На мой взгляд, важнее не то, что уязвимость в V8, а то, что она уже используется в реальных атаках. Это значит, что уязвимые сайты уже находятся в зоне риска. Если у клиента сайт с уязвимым JS-кодом — он может стать частью цепочки, где пользователь получает вредоносный скрипт, даже не зная, что зашёл на вредоносный сайт. Закрыть уязвимость — это не просто «поставить патч», а проверить, не осталось ли в коде уязвимых мест, которые можно использовать для внедрения JS.

У себя уже поставил в план на неделю проверку всех сайтов, где есть возможность ввода кода. Начинаю с резервной копии, потом смотрю, нет ли в коде подозрительных вызовов, особенно в скриптах, подгружаемых из внешних источников. У клиентов на поддержке это будет закрываться заранее — как часть проактивной проверки.