Google исправила эксплуатируемую уязвимость V8 в Chrome
Google выпустила обновление Chrome, закрывающее 230 уязвимостей, включая CVE-2026-87491, которую уже используют в реальных атаках. Ошибка средней степени опасности находится в V8 — движке JavaScript и WebAssembly браузера — и исправлена в версиях 153.0.8010.36/.37 для Windows и macOS и 153.0.8010.36 для Linux.
Что известно об уязвимости V8
По описанию в Национальной базе данных уязвимостей США, CVE-2026-87491 представляет собой запись за пределы выделенной области памяти в V8. До указанных версий Chrome удалённый атакующий мог с помощью специально сформированной HTML-страницы выполнить произвольный код внутри песочницы браузера.
Google подтвердила, что знает о существовании эксплойта для этой уязвимости в реальных атаках. При этом компания не раскрыла способ его применения и не назвала стоящих за атаками лиц или группы.
Обнаружившая ошибку исследовательница Чихён Чон из Compsec Lab Сеульского национального университета сообщила о ней 6 августа 2026 года. За ответственное раскрытие ей выплатили вознаграждение в размере 2500 долларов.
Почему детали пока ограничены
Google может ограничивать доступ к техническим подробностям и связанным материалам, пока исправление не установит большинство пользователей. Такие ограничения также могут сохраняться, если проблема находится в сторонней библиотеке, от которой зависят другие ещё не обновлённые проекты.
С начала года это уже седьмая активно эксплуатируемая уязвимость нулевого дня в Chrome, устранённая Google. В контексте угрозы и обновления безопасности Chrome новая ошибка V8 показывает, что обновления браузера остаются отдельной задачей управления рисками.
Другие исправления и действия компаний
В этом выпуске также закрыты пять критических ошибок в компонентах WebGL и Cast: CVE-2026-87464, CVE-2026-87488 и CVE-2026-87628 связаны с use-after-free, CVE-2026-87438 — с записью за границы памяти, а CVE-2026-87527 — с переполнением буфера. Google сообщила, что самостоятельно выявила 195 из 230 устранённых проблем.
Отдельно исправлена уязвимость высокой опасности CVE-2026-87639 в WebPackaging типа use-after-free; за её обнаружение отмечена OpenAI Codex Security. Google также указала, что многие дефекты находит с помощью AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer и AFL.
Организациям стоит оперативно развернуть актуальные версии Chrome, убедиться в перезапуске браузера после обновления и отследить выпуск исправлений для Microsoft Edge, Brave, Opera и Vivaldi. Наличие эксплойта в атаках делает задержку с обновлением необоснованным риском для рабочих станций.