Google Chrome 153, aktif olarak saldırıya uğrayan bir sıfırıncı gün güvenlik açığını düzeltiyor; yeniden başlatma gerekiyor

Google, Salı günü Chrome 153 sürümünü kararlı kanala yükseltti. Sürüm, 230 güvenlik düzeltmesi içeriyor ve Google bunlardan beşini kritik olarak değerlendiriyor. Sayfanın biraz daha aşağısındaki bir satır, herhangi bir ciddiyet derecesinden daha önemlidir. Şirket, "Google, CVE-2026-87491 için bir istismar kodunun yaygın olarak kullanıldığını bilmektedir" diye yazıyor.

CVE-2026-87491, Chrome’un web sayfalarında kod çalıştırmak için kullandığı JavaScript ve WebAssembly motoru olan V8’de bir sınır dışı yazma açığıdır. Sınır dışı yazma, bir programın kendisine ayrılan bellek alanının ötesine yazmasına ve yanında depolanan her ne varsa üzerine yazmasına olanak tanır. Açıklamaya göre, uzaktaki bir saldırganın sanal alan içinde kod çalıştırması için özel olarak hazırlanmış bir HTML sayfası yeterli. Seul Ulusal Üniversitesi Compsec Lab'den Jihyeon Jeong, bu hatayı 6 Ağustos'ta bildirdi ve 2.500 dolarlık ödül aldı. Google, bu hatayı orta düzeyde değerlendiriyor.

Aynı motorda, beş gün arayla istismar edilen iki güvenlik açığı

Bu, Google’ın 2026 yılında yama uyguladığı, aktif olarak istismar edilen yedinci Chrome sıfır gün güvenlik açığıdır. Google, altıncı açığı beş gün önce düzeltmişti. Bu, yine V8’de bulunan ve istismar kodu dolaşımda olan bir tür karışıklığı olan CVE-2026-85046 idi.

Beş kritik güvenlik açığı ise diğer bileşenlerde yer alıyor. Bunlardan dördü, tarayıcıda 3D grafikleri işleyen WebGL arayüzünde bulunuyor ve CVE-2026-87464, CVE-2026-87488, CVE-2026-87438 ve CVE-2026-87527 olarak takip ediliyor. Beşincisi olan CVE-2026-87628 ise tarayıcı içeriğini televizyona aktaran Cast'te bulunuyor. Daha uzun listede yer alan katkılar tek başına incelenmeye değer. Google, Big Sleep gibi otomatik hata avlama sistemlerinin adını veriyor ve listede OpenAI Codex Security'den gelen bir giriş de bulunuyor.

Düzeltme neden henüz size ulaşmadı?

Google, aynı gönderide bu güncellemenin "önümüzdeki günler/haftalar içinde kullanıma sunulacağını" belirtiyor. Chrome güncellemeleri, tüm cihazlara aynı anda değil, aşamalı olarak ulaşır. Bu durum, daha fazla cihazın güvenlik açığına maruz kalmasına neden olur. Chrome, güncellemeyi arka planda indirir ancak tarayıcı tamamen kapatılıp yeniden açılana kadar bu güncellemeyi uygulamaz. Google’ın kendi yönetici belgelerinde de bu durum belirtilmiştir ve yeniden başlatma uyarısının ısrarcı hale gelmesinden önceki varsayılan süre bir haftadır.

Tarayıcıyı günlerce açık tutan, düzinelerce sekme açık bırakıp yeniden başlatmayan kullanıcılar, hâlâ eski sürümü kullanmaktadır. Bu durumda, "Chrome günceldir" mesajı, aslında hangi sürümün çalıştığı hakkında hiçbir bilgi vermez.

Edge, Brave, Opera ve Vivaldi de bu durumdan etkileniyor

V8, Firefox ve Safari dışında neredeyse tüm büyük tarayıcıların temelini oluşturan Chromium'un bir parçasıdır. Microsoft Edge, Brave, Opera ve Vivaldi, aynı düzeltmeyi kendi sürüm numaraları altında ve kendi zamanlamalarına göre sunar; bu nedenle her biri için ayrı bir kontrol gereklidir. Samsung Internet'i örnek alarak, bir yamanın bir tarayıcı üreticisine ne kadar yavaş ulaşabileceğini inceledik.

Chrome 153, iki haftalık sürüm döngüsünü başlatıyor

Bu sürüm, sürüm yayın ritmini de değiştiriyor. Beta ve kararlı sürümler artık masaüstü, Android ve iOS platformlarında dört haftada bir yerine iki haftada bir yayınlanıyor. Chrome 154'ün 22 Eylül'de yayınlanması bekleniyor. Bu, iki kat daha fazla yeniden başlatma uyarısı ve güvenlik düzeltmeleri için daha kısa bir süreç anlamına geliyor.

Sürümünüzü kontrol etme

chrome://settings/help adresini açın; tarayıcı burada güncellemeleri kontrol eder ve hemen indirir. Bir "Yeniden Başlat" düğmesi görünürse, bu düğmeye tıklamak önemli adımdır, çünkü bundan önceki her şey sadece indirme işlemiydi. Daha sonra gösterilen sürüm, 153.0.8010.36 veya .37 olmalı; Linux'ta ise 153.0.8010.36 olmalıdır.

Satırda hâlâ 152 sürümü görünüyorsa ve hiçbir şey olmuyorsa, aşamalı güncelleme henüz cihazınıza ulaşmamış demektir. Günün ilerleyen saatlerinde tekrar denemek tek seçenektir. Özel olarak hazırlanmış dosyalar kullanılarak gerçekleştirilen saldırılar, masaüstü tarayıcılarla da sınırlı değildir. Samsung’un görüntü kod çözücüsü birkaç gün önce aynı sorunu sergilemişti ve AI tarayıcıları da Ağustos ayında bu konuda güvenlik açığına sahip oldukları ortaya çıkmıştı.