Google заплатила критическую уязвимость в Chrome, но браузеры на Chromium всё ещё не обновились
Google исправила уязвимость CVE-2025-12036 в движке V8 браузера Chrome, доступную для версий 141.0.7390.122/123 на Windows, macOS, Linux и Android. Производители браузеров на базе Chromium, включая Microsoft Edge, Brave, Vivaldi и Opera, находятся в процессе обновления, при этом Vivaldi уже внедрил исправления в бета-версию 7.7, а Edge и Brave пока остаются на предыдущих версиях.
По данным Google, в браузере Chrome была исправлена уязвимость CVE-2025-12036 в движке V8, классифицированная как высокого риска. Патч затронул версии 141.0.7390.122/123 для Windows, macOS и Linux, а также Android. Уязвимость пока не используется в атаках, но требует немедленного обновления.
Синхронизация обновлений в экосистеме Chromium
Производители браузеров на базе Chromium, таких как Microsoft Edge, Brave, Vivaldi, и Opera, должны следовать обновлению. На момент публикации Edge и Brave работают на предыдущей версии безопасности, тогда как Vivaldi уже перевел бета-версию 7.7 на Chromium 142. Opera, в свою очередь, сократила очередь обновлений, выпустив версию 122 на базе Chromium 138, но пока не достигла актуальной версии 142.
Технические детали и тайминги
Google Big Sleep, ИИ-инструмент на базе Gemini, обнаружил уязвимость. Патч стал доступен 28 октября, когда запланирован релиз Chrome 142. В Extended Stable Channel для Windows и macOS пока остаётся версия 140.0.7339.249. Для Android исправления включены в версию 141.0.7390.122.
Риски и рекомендации
Отсутствие обновления в Extended Stable Channel указывает на то, что уязвимость CVE-2025-12036, вероятно, присутствует только в Chromium 141. Это снижает вероятность обновления Vivaldi в текущей неделе. Пользователям рекомендуется проверить обновления через «Help > About Google Chrome» или дождаться автоматической синхронизации.
Интересно: Как обеспечить синхронизацию обновлений в экосистеме Chromium, если задержки в релизах браузеров могут оставить системы уязвимыми даже после патчей?
Уязвимость в движке V8 и риски для экосистемы Chromium: что важно для российского бизнеса
Парадокс обновлений: когда патч Google не защищает всех пользователей
Уязвимость CVE-2025-12036 в движке V8, исправленная Google 28 октября, демонстрирует ключевую проблему экосистемы Chromium: скорость распространения патчей зависит от внутренних процессов сторонних разработчиков. Хотя Google выпустил обновление для Chrome 142, браузеры на его основе, такие как Microsoft Edge и Opera, до сих пор используют уязвимые версии. Например, Edge и Brave работают на предыдущих релизах, а Opera даже после сокращения очереди обновлений не достигла актуальной версии 142. Это создает временные «зоны риска», где устройства остаются уязвимыми даже после патча Google.
Ключевой риск:
- Задержки в обновлениях увеличивают вероятность эксплуатации уязвимости. Например, версия 140.0.7339.249 для Windows и macOS в Extended Stable Channel все еще актуальна, что означает, что пользователи этих каналов остаются в небезопасной среде.
- Зависимость от автоматизации. Если пользователь не включил автоматическое обновление, он может не заметить уязвимость до атаки.
ИИ и безопасность: как технологии меняют подход к угрозам
Обнаружение уязвимости с помощью ИИ-инструмента Google Big Sleep (на базе Gemini) указывает на стратегический сдвиг в кибербезопасности. Использование ИИ позволяет сократить время между обнаружением и патчем, но эффективность этого подхода зависит от скорости интеграции обновлений другими участниками экосистемы.
Стартап TwinMind, используя расширение для Chrome, собирает контекстную информацию через активность в браузере. Такие инструменты, хотя и полезны, увеличивают поверхность атаки, если браузер не обновлен. Например, если расширение анализирует содержимое вкладок (Slack, Notion), уязвимость в движке V8 может стать вектором для утечки данных [!].
Риски для рынка:
- Отставание в обновлениях. Opera, сократив очередь обновлений, всё ещё не дошла до актуальной версии 142. Это создаёт «разрыв» в защите между браузерами.
- Сложности с Extended Stable Channel. Для Windows и macOS версия 140.0.7339.249 всё ещё актуальна, что означает, что уязвимость может быть эксплуатирована в устройствах, не обновлённых до 141.
Практические шаги для российского бизнеса
Для компаний, использующих браузеры на базе Chromium, важно:
- Настроить автоматическое обновление через «Help > About Google Chrome» или корпоративные MDM-системы.
- Мониторить версии браузеров в парке устройств. Особенно критично для систем, где задержки в обновлениях могут привести к утечке данных.
- Оценить политику обновлений у поставщиков ПО. Например, если компания использует Edge, нужно учитывать, что его обновления происходят медленнее, чем у Chrome.
Риски для России:
- Зависимость от иностранных экосистем. Браузеры на Chromium, включая Edge и Vivaldi, зависят от Google, что создаёт уязвимости в случае задержек с патчами.
- Недостаток локальных альтернатив. Российские браузеры, такие как Яндекс.Браузер, также используют Chromium, поэтому их обновления будут подчиняться той же динамике.
Рекомендации:
- Для корпоративных решений — рассмотреть использование браузеров с более строгими политиками обновлений или внедрение систем мониторинга уязвимостей в реальном времени.
- Для частных пользователей — включить автоматическое обновление и регулярно проверять версию браузера.
Вывод: Уязвимость в движке V8 демонстрирует, что безопасность экосистемы зависит не только от Google, но и от скорости адаптации сторонних разработчиков. Для российского бизнеса критично минимизировать «разрыв» между обновлениями Google и локальными решениями.
