Google, Chrome'da acil güvenlik güncellemesi yayınladı: aktif olarak istismar edilen sıfır gün açığını düzeltti ve kullanıcıları derhal güncelleme yapmaya çağırdı.

BlockBeats haberi, 10 Kasım'da Google, 9 Kasım 2026 tarihinde masaüstü Chrome tarayıcısı için acil bir kararlı kanal güncellemesi yayınladı ve aralarında sahada aktif olarak istismar edilen bir sıfır gün açığının da bulunduğu 9 güvenlik açığını giderdi. Bu güncelleme, Windows ve Mac platformlarında Chrome sürümünü 157.0.8103.50/.51'e, Linux platformunda ise 157.0.8103.50'ye yükseltiyor ve önümüzdeki günlerden haftalara kadar kademeli olarak dağıtılacak.

Bu güncellemenin ana odağı, XML bileşeninde kullanım sonrası serbest bırakma (use-after-free) türündeki CVE-2026-125350 numaralı yüksek riskli açık. Google duyurusunda açıkça "CVE-2026-125350'nin sahada istismar edildiğinin bilindiğini" belirtti, ancak spesifik saldırı yöntemini, etkilenenlerin ölçeğini veya saldırı faaliyetinin kime ait olduğunu açıklamadı. Bu açık, 6 Kasım 2026 tarihinde anonim bir araştırmacı tarafından bildirildi ve Google'ın düzeltme yamasını yayınlamasına yalnızca 3 gün kaldı.

Toplam 9 düzeltme kaleminden 7'si "yüksek risk" seviyesinde, 2'si ise "orta risk" seviyesinde. CVE-2026-125350 dışında, bir diğer yüksek riskli açık olan CVE-2026-125346 da XML bileşeninde kullanım sonrası serbest bırakma sorunu olup, Neonix Security'den Arni Hardarson tarafından 12 Ekim 2026 tarihinde bildirildi, ancak Google yalnızca CVE-2026-125350'yi sahada istismar edilen açık olarak işaretledi. Diğer yüksek riskli açıklar WebGL başlatılmamış kaynaklar, FileSystem uygunsuz yetkilendirme, birleştirici tampon taşması, GPU sınır dışı yazma ve V8 tür karışıklığı gibi konuları kapsıyor ve çoğu Google'ın kendi iç güvenlik ekibi tarafından keşfedildi.

Google aynı zamanda aynı gün yayınlanan Android sürümü Chrome'un (157.0.8103.50) masaüstü sürümüyle aynı güvenlik düzeltmelerini içerdiğini doğruladı ve herhangi bir istisna belirtmedi. Genişletilmiş Kararlı Kanal (Extended Stable) kullanıcıları ise 9 Kasım'da ayrı olarak yayınlanan güncellemeyi yüklemeli; Windows ve Mac sürümü 156.0.8078.96 olup bu güncelleme de CVE-2026-125350'yi yüksek riskli düzeltme kalemleri arasına dahil ediyor.

Hong Kong Hükümeti Bilgisayar Güvenlik Olayı Koordinasyon Merkezi (GovCERT.HK) aynı gün bir güvenlik uyarısı yayınlayarak etkilenen sistemleri Chrome 157.0.8103.50 öncesi sürümler olarak tanımladı ve ilgili açıkların başarılı şekilde istismar edilmesinin uzaktan kod yürütme, hizmet reddi, tahrifat veya güvenlik kısıtlamalarının atlatılmasına yol açabileceğini belirtti. Hong Kong Bilgisayar Güvenlik Olayı Müdahale Merkezi (HKCERT) ise bu güncellemenin risk seviyesini "çok yüksek risk" olarak değerlendirdi.

Google duyuruda, güvenlik açığı ayrıntılarına ve bağlantılara erişimin, çoğu kullanıcı güncellemeyi tamamlayana kadar kısıtlı kalabileceğini belirtti. Şirket, kullanıcıların «Ayarlar → Chrome Hakkında» yoluyla manuel olarak kontrol edip güncellemeyi tetiklemelerini ve güncelleme tamamlandıktan sonra yamanın etkili olması için tarayıcıyı yeniden başlatmalarını öneriyor. Hâlâ Chrome 157.0.8103.50 öncesi sürümleri çalıştıran kullanıcılar için öncelikli işlem, sürüm numarasını doğrulayıp yükseltmeyi tamamlamak üzere tarayıcıyı hemen yeniden başlatmaktır.