İçindekiler
Google, Chrome web tarayıcısında siber saldırganlar tarafından aktif olarak istismar edilen yüksek tehlikeli bir güvenlik açığını kapatmak için acil güncelleme yayımladı. Milyonlarca kişiyi yakından ilgilendiriyor ve çünkü arka planda ciddi bir güvenlik açığı kapatıldı.
Google, Chrome web tarayıcısında siber saldırılarda aktif olarak kullanılan yeni bir sıfır gün (zero-day) zafiyetini kapatmak amacıyla acil güvenlik güncellemesi yayımladı. Şirket tarafından yapılan duyuruda, tespit edilen zafiyetin siber saldırılarda istismar edildiğinin doğrulandığı bildirildi. Bu gelişmeyle birlikte Google, yılın başından bu yana Chrome'da aktif saldırılarda kullanılan 8'inci sıfır gün açığını yamamış oldu.
XML bileşenindeki bellek hatası kod çalıştırılmasına izin veriyor
CVE-2026-125350 olarak kodlanan yüksek tehlike seviyesindeki zafiyet, Chrome'un XML bileşenindeki Use-After-Free (UAF) bellek hatasından kaynaklanıyor. Güvenlik açığı, tarayıcının XML ayrıştırıcısının verileri işlediği sırada bir nesneyi bilgisayar belleğinden silmesine rağmen, o nesneye referans veren işaretçiyi (pointer) temizlememesi durumunda ortaya çıkıyor.
Saldırganlar, tarayıcının daha sonra serbest bırakılmış bu bellek alanını kullanmaya veya okumaya çalıştığı anda bellek düzenini manipüle ederek hedef sistemde kötü amaçlı kod çalıştırabiliyor.
Detaylar kullanıcıların çoğunluğu güncellenene kadar gizli tutulacak
Google, güvenlik zafiyetinin aktif saldırılarda kullanıldığına dair kanıtlar bulduğunu açıklasa da olayların ayrıntılarını paylaşmadı. Şirket politikas gereği, kullanıcıların büyük çoğunluğu yamayı yükleyene kadar hataya dair ayrıntılara ve bağlantılara erişimi kısıtlı tutacağını bildirdi. Ayrıca hatanın benzer şekilde başka projelerin de bağımlı olduğu üçüncü taraf bir kütüphanede bulunması ve henüz orada düzeltilmemiş olması durumunda da kısıtlamaların sürdürüleceği belirtildi.
Güncelleme masaüstü kullanıcılarına dağıtılmaya başlandı
Sıfır gün açığı için hazırlanan yama, Masaüstü Kararlı Kanalı (Stable Desktop) üzerinden kullanıma sunuldu. Yeni sürümler aktif olarak desteklenen Windows, macOS (157.0.8103.50/.51) ve Linux (157.0.8103.50) platformlarındaki kullanıcılara ulaştırılmaya başlandı.
Haberleri ilk sen öğren
Kanalımıza katıl, önemli gelişmeler doğrudan telefonuna düşsün.
Güncellemenin tüm Chrome kullanıcılarına ulaşmasının birkaç gün veya hafta sürebileceği açıklansa da güvenlik yaması manuel kontrol yapıldığında hemen yüklenebiliyor. Manuel güncelleme yapmak istemeyen kullanıcılar için Chrome, bir sonraki başlatmada yamayı otomatik olarak sisteme yüklüyor.
Yılın başından bu yana kapatılan diğer sıfır gün açıkları
Google, bu son yama ile birlikte yılın başından bu yana siber saldırılarda aktif olarak istismar edilen toplam 8 sıfır gün açığını kapatmış oldu. Yıl içinde giderilen diğer zafiyetler şunlardır:
| Kapatıldığı Tarih | CVE Kodu | Etkilenen Bileşen ve Açık Türü |
|---|---|---|
| Şubat (Ortası) | CVE-2026-2441 | CSSFontFeatureValuesMap bileşeninde yineleyici geçersiz kılma (iterator invalidation) hatası |
| Mart | CVE-2026-3909 | Skia 2D grafik kütüphanesinde sınır dışı yazma zafiyeti |
| Mart | CVE-2026-3910 | V8 JavaScript ve WebAssembly motorunda uygunsuz uygulama hatası |
| Nisan | CVE-2026-5281 | Chromium projesinin WebGPU standardı altyapısı olan Dawn bileşeninde Use-After-Free hatası |
| Haziran | CVE-2026-11645 | V8 JavaScript motorunda sınır dışı okuma ve yazma zafiyeti |
| Eylül | CVE-2026-87491 | V8 JavaScript motorunda sınır dışı yazma zafiyeti |
| Eylül | CVE-2026-85046 | V8 JavaScript motorunda tür karıştırma (type confusion) hatası |
Google, 2025 yılında da saldırılarda aktif kullanılan 8 sıfır gün açığını kapatmıştı. Bu açıkların büyük bir kısmı, casus yazılım saldırılarında kullanılan sıfır gün açıklarını takip eden Google Tehdit Analiz Grubu (TAG) tarafından tespit edilmişti.
