Chrome CVE-2026-87491: доведите установку обновления до перезапуска браузера

Что это

Состояние на 25 октября 2026 года. В уведомлении Google о выпуске настольной версии от 8 сентября 2026 года указана CVE-2026-87491 — запись за пределами выделенной памяти в V8 — и подтверждается её эксплуатация в реальных атаках. Релизы с исправлением безопасности: 153.0.8010.36 для Linux и 153.0.8010.36/.37 для Windows и Mac. Это документированные версии, устраняющие уязвимость, а не утверждение о том, что они являются самыми новыми доступными версиями браузера. Перед развёртыванием повторно изучите последующие уведомления канала Stable и документацию по корпоративным политикам; у цитируемого уведомления нет отдельно указанной даты пересмотра.

Почему это важно

В документации Google по обновлению различаются скачивание обновления и его применение через перезапуск браузера. Поэтому пакет может быть распространён по парку устройств, пока пользователи продолжают работать в старом процессе браузера. Настройка Google, рекомендующая перезапуск, позволяет пользователям отклонить предложение и продолжить работу в старой версии. Обязательный перезапуск устраняет этот разрыв на практике.

Ниже предложен порядок подтверждения устранения уязвимости. Его свидетельства — отображаемая браузером версия, фактически действующие политики и результат перезапуска; он не позволяет сделать вывод о компрометации по номеру версии или сбою браузера.

Как применять

• Определите фактически используемый браузер. Зафиксируйте операционную систему, канал выпуска и версию, указанную в разделе «Справка > О браузере Google Chrome». Сравните её с соответствующим релизом разработчика, затем выберите актуальную поддерживаемую версию с необходимыми исправлениями безопасности. Рассматривайте номер релиза Linux отдельно от пары версий Windows/Mac.
• Разрешите доставку. На управляемых устройствах Windows проверьте раздел Google Update > Applications и политику приложения Google Chrome. Включите переопределение политики обновления, разрешив обновления. Проверьте, нет ли закреплённой целевой версии, которая мешает достичь требуемого уровня безопасности. Google предупреждает, что закреплять версии следует временно. Администраторы Linux должны доставлять обновления браузера через пакетный менеджер.
• Обеспечьте обязательное применение. Задайте для RelaunchNotification обязательный перезапуск, значение 2, а для RelaunchNotificationPeriod — утверждённый организацией предельный срок в миллисекундах. Рассмотрите RelaunchWindow вместе с этим сроком: заданное окно перезапуска может отсрочить завершение. Предупредите пользователей, чтобы они могли сохранить незавершённую работу до принудительного перезапуска.
• Проверьте действующую конфигурацию. После развёртывания политик и перезапуска откройте chrome://policy, выберите «Обновить политики» и проверьте RelaunchNotification, RelaunchNotificationPeriod и RelaunchWindow. Google указывает, что статус должен быть OK, а значения — соответствовать задуманной политике. Разберитесь с переопределениями, не предполагая, что консоль управления точно отражает состояние устройства.
• Завершите проверку свидетельствами из работающего браузера. После перезапуска снова откройте раздел «О браузере Google Chrome» и зафиксируйте отображаемую версию. Устройства с неудавшимся скачиванием, ожидающие перезапуска или отсутствующие в инвентаризации, оставьте в списке нерешённых исключений. Для каждого исключения укажите ответственного и следующее действие по устранению.

Подводные камни

Не считайте уведомление о перезапуске доказательством того, что перезапуск состоялся. Google также отмечает, что для компьютерных политик Windows требуется членство в домене или управление устройством. Настроенная политика на неуправляемой машине — недостаточное свидетельство. Сентябрьские номера версий задают историческую границу появления исправления, а не разрешение навсегда остановиться на них. Эта статья не утверждает, какой по счёту среди уязвимостей нулевого дня за год была эта уязвимость. Для проверки развёртывания не требуется воспроизводить эксплуатацию.