Google și Mozilla au lansat marți actualizări care repară împreună peste 200 de vulnerabilități în Chrome și Firefox, browsere folosite pe scară largă atât de utilizatorii individuali, cât și de organizații. Printre probleme se numără defecte critice care, în anumite condiții, pot permite executarea de cod în afara sandbox-ului, precum și vulnerabilități ce afectează memoria și mecanismele de securitate ale browserelor.
Niciuna dintre companii nu a indicat că aceste vulnerabilități ar fi fost exploatate în atacuri reale. Absența unei confirmări de exploatare nu elimină riscul: paginile web sunt conținut activ, iar un browser neactualizat poate expune utilizatorii la cod malițios doar prin vizitarea unui site pregătit pentru atac.
Chrome 156 repară patru vulnerabilități critice
Actualizarea Chrome 156 include remedieri pentru 52 de probleme de securitate, dintre care patru au fost clasificate drept critice. Acestea vizează coruperea memoriei în FileSystem, validarea incorectă a intrărilor în FileAPI și Skia, precum și o problemă use-after-free în Layout — o eroare în care programul poate folosi memorie după ce aceasta a fost eliberată.
Cea mai gravă problemă descrisă individual este CVE-2026-118306, vulnerabilitatea din FileSystem. Potrivit informațiilor publicate, o pagină HTML special concepută ar putea permite executarea arbitrară de cod în afara sandbox-ului, mecanismul care limitează ce poate face conținutul web în interiorul browserului.
În afara celor patru vulnerabilități critice, Google a reparat 46 de probleme de severitate ridicată. Majoritatea sunt legate de coruperea memoriei, validarea necorespunzătoare a intrărilor și erori use-after-free, categorii care pot destabiliza browserul sau pot crea condiții utile unui atacator, în funcție de contextul exploatării.
Sursă foto: AI
Firefox are 167 de remedieri, majoritatea de severitate ridicată
Mozilla a lansat Firefox 159 cu remedieri pentru 167 de vulnerabilități, dintre care 108 sunt clasificate drept cu severitate ridicată. Cele mai multe corecții vizează probleme use-after-free, dar actualizarea abordează și vulnerabilități care pot permite evadarea din sandbox, escaladarea privilegiilor ori ocolirea politicii same-origin.
Politica same-origin este una dintre protecțiile fundamentale ale browserului: ea limitează modul în care conținutul unei pagini poate interacționa cu datele altor site-uri. Ocolirea acestei politici poate slăbi separarea dintre origini web, în timp ce problemele de escaladare a privilegiilor sau de evadare din sandbox pot compromite bariere suplimentare de protecție.
Mozilla a publicat marți și actualizări pentru Thunderbird 159 și 153.6, precum și pentru Firefox ESR 153.6 și 115.44. Aceste versiuni includ remedieri pentru multe dintre vulnerabilitățile abordate în Firefox, astfel că administratorii nu ar trebui să limiteze verificarea la browserul principal, mai ales în organizațiile care folosesc ediții cu suport extins sau clientul de e-mail Mozilla.
Sursă foto: AI
De ce contează actualizarea chiar dacă nu există exploatări confirmate
Google nu a stabilit încă valoarea recompenselor care vor fi acordate cercetătorilor care au raportat vulnerabilități. Compania a precizat că nu va plăti recompense pentru cele 39 de probleme rămase, majoritatea descoperite intern sau cu ajutorul inteligenței artificiale; informațiile disponibile nu identifică separat toate celelalte vulnerabilități și raportorii lor.
Actualizările Chrome sunt distribuite în versiunile 156.0.8078.73/.74 pentru Windows și macOS și în versiunea 156.0.8078.73 pentru Linux. Lansarea se face treptat, așa că este posibil ca actualizarea să nu fie disponibilă simultan pe toate dispozitivele; utilizatorii trebuie să verifice versiunea instalată și să repornească browserul dacă instalarea o solicită.
Faptul că furnizorii nu menționează exploatarea în sălbăticie este relevant, dar nu înseamnă că vulnerabilitățile pot fi ignorate. Detaliile tehnice publicate după remediere pot ajuta la identificarea componentelor afectate, iar întârzierile de actualizare lasă deschisă o fereastră în care atacatorii pot analiza și adapta tehnici de exploatare.
Miza pentru companiile și instituțiile din România și UE
În România și în restul UE, browserele sunt instrumente de lucru pentru angajați, instituții publice și furnizori de servicii, iar actualizarea lor trebuie tratată ca parte a gestionării obișnuite a vulnerabilităților. Organizațiile ar trebui să inventarieze versiunile instalate pentru Chrome, Firefox, Firefox ESR și Thunderbird, apoi să prioritizeze sistemele expuse utilizării zilnice și stațiile care accesează servicii sensibile.
Echipele IT pot distribui actualizările prin instrumentele centralizate de administrare, verificând ulterior dacă versiunile țintă au ajuns efectiv pe dispozitive. În mediile unde actualizarea nu poate fi instalată imediat, este prudent să se limiteze temporar utilizarea browserelor vulnerabile pentru activități sensibile și să se urmărească eventualele notificări ale furnizorilor, fără a trata această măsură drept înlocuitor al remedierii.
Pentru utilizatorii individuali, recomandarea este directă: actualizați browserul cât mai curând, reporniți-l dacă este necesar și verificați că noua versiune este activă. Pentru administratori, aplicarea patch-urilor trebuie însoțită de verificări de conformitate și de monitorizarea telemetriei defensive, deși materialul publicat nu oferă indicatori de compromitere specifici și nu confirmă incidente legate de aceste vulnerabilități.
