Chrome 151 में 411 सुरक्षा खामियां ठीक, लेकिन गंभीर बग खोजने में इंसान अब भी आगे

लेकिन कहानी सिर्फ 411 का आंकड़ा नहीं है। Chrome 151 यह भी दिखाता है कि आधुनिक साइबर सुरक्षा में AI और ऑटोमेशन ने भले ही कमजोरियां खोजने की रफ्तार बढ़ा दी हो, फिर भी इंसानी सुरक्षा शोधकर्ताओं की भूमिका खत्म नहीं हुई है। उपलब्ध रिपोर्टों के अनुसार, जुलाई वाले अपडेट में Google ने 370 में से 349 बग खुद खोजे, जबकि अगस्त वाले अपडेट में 41 में से 12 खामियां बाहरी शोधकर्ताओं ने रिपोर्ट कीं .

Chrome 151 के दो सुरक्षा अपडेट में क्या ठीक हुआ?

29 जुलाई का अपडेट: 370 कमजोरियां और 7 क्रिटिकल बग

पहले बड़े अपडेट में Windows, macOS और Linux के लिए Chrome 151.0.7922.71/.72 जारी किया गया। Android पर भी 151.0.7922.71/.72 संस्करण उपलब्ध कराया गया . इस रिलीज में 370 कमजोरियां ठीक की गईं, जिनमें 7 क्रिटिकल, 71 हाई, 170 मीडियम और 122 लो-सेवेरिटी खामियां शामिल थीं .

क्रिटिकल कमजोरियों में ये प्रमुख बग शामिल थे:

• Compositing, Views, Skia और Ozone में use-after-free खामियां .
• Dawn और ANGLE में अविश्वसनीय इनपुट की अपर्याप्त जांच से जुड़ी समस्याएं .
• Updater कंपोनेंट में एक race condition .

इस अपडेट की सबसे गंभीर बातों में से एक CVE-2026-11645 थी। यह V8 में out-of-bounds read और write से जुड़ी कमजोरी है, जिसका CVSS स्कोर 8.8 बताया गया है। इसे अपडेट जारी होने से पहले ही CISA की Known Exploited Vulnerabilities सूची में शामिल किया जा चुका था—यानी हमलावर इसका वास्तविक दुनिया में फायदा उठा रहे थे .

7 अगस्त का अपडेट: 41 और गंभीर खामियां

दूसरे अपडेट में Windows और macOS के लिए Chrome 151.0.7922.108/.109 जारी किया गया। इस रिलीज में 41 क्रिटिकल और हाई-सेवेरिटी कमजोरियां ठीक की गईं, जिनमें 6 क्रिटिकल और 35 हाई-सेवेरिटी खामियां थीं .

छह क्रिटिकल कमजोरियों में शामिल थीं:

• WebGL, Aura, Skia और Views में पांच use-after-free बग .
• ANGLE ग्राफिक्स इंजन में out-of-bounds write .

इन 35 हाई-सेवेरिटी खामियों में से 24 मेमोरी-सुरक्षा से जुड़ी थीं। ऐसी कमजोरियां क्रैश, मेमोरी करप्शन या कुछ परिस्थितियों में मनमाना कोड चलाने का रास्ता खोल सकती हैं .

411 का आंकड़ा कैसे बनता है?

यह कुल संख्या 29 जुलाई के 370 और 7 अगस्त के 41 फिक्स को जोड़कर बनती है। Chrome 151 के जीवनचक्र से जुड़े कुछ शुरुआती जून के लेखों में 382 कमजोरियों और 15 क्रिटिकल बग का अलग आंकड़ा भी दिया गया है। हालांकि, उपलब्ध रिपोर्टों में यह स्पष्ट नहीं है कि वे आंकड़े अलग बिल्ड, प्री-स्टेबल चैनल पैच या कुछ ओवरलैपिंग फिक्स को दर्शाते हैं . इसलिए यहां 370 और 41 वाले दो स्पष्ट stable-channel अपडेट को आधार बनाया गया है।

AI बनाम इंसानी शोधकर्ता: किसने कितने बग खोजे?

AI और ऑटोमेशन ने क्या खोजा?

Google की सुरक्षा टीमें AddressSanitizer, MemorySanitizer और Control Flow Integrity जैसे टूल्स का इस्तेमाल करती हैं। ये टूल्स कोड में मेमोरी करप्शन और असुरक्षित प्रोग्राम व्यवहार के संकेत खोजते हैं . कई फज़िंग पाइपलाइन अब machine-learning आधारित तकनीकों का भी उपयोग करती हैं, ताकि परीक्षण कोड के जटिल और अधिक जोखिम वाले हिस्सों की ओर निर्देशित किया जा सके .

ऑटोमेटेड टूल्स खास तौर पर उन बग पैटर्न को बड़े पैमाने पर पकड़ने में प्रभावी हैं जिन्हें सुरक्षा विशेषज्ञ “known unknowns” कह सकते हैं—जैसे use-after-free, buffer overflow और uninitialized memory। जुलाई वाले अपडेट में Google ने 370 में से 349 कमजोरियां आंतरिक रूप से खोजीं .

इंसानी शोधकर्ताओं ने क्या अलग किया?

बाहरी bug bounty समुदाय की संख्या कम थी, लेकिन उनके निष्कर्ष रणनीतिक रूप से महत्वपूर्ण रहे।

• 29 जुलाई वाले अपडेट में बाहरी शोधकर्ताओं ने लगभग 21–24 कमजोरियां रिपोर्ट कीं। उन्हें 2,000 से 36,000 डॉलर तक के bounty भुगतान मिले। सबसे बड़ा एकल भुगतान GPU से जुड़े use-after-free बग CVE-2026-13789 के लिए 36,000 डॉलर था .
• 7 अगस्त वाले अपडेट में 41 में से 12 कमजोरियां बाहरी सुरक्षा शोधकर्ताओं की रिपोर्ट पर आधारित थीं—यानी लगभग 30 प्रतिशत .
• Muhammad Alifa Ramdhan, Pan ZhenPeng और Billy Jheng Bing Jhong—STAR Labs SG Pte. Ltd. से जुड़े शोधकर्ताओं—ने WebGL के use-after-free बग CVE-2026-19170 की रिपोर्ट की .
• एक अन्य गंभीर WebGL कमजोरी, CVE-2026-19137, गुमनाम शोधकर्ता ने रिपोर्ट की .
• SungHyun Kim को Contextual Tasks में अपर्याप्त validation से जुड़ी CVE-2026-19169 के लिए 5,000 डॉलर का bounty मिला .

इन मानवीय खोजों में एक बात समान है: इन्हें पकड़ने के लिए रचनात्मक और विरोधी-पक्ष जैसी सोच की जरूरत थी। शोधकर्ताओं को कई कंपोनेंट के बीच संबंध, असामान्य प्रोग्राम फ्लो, race condition या ऐसे edge cases पर विचार करना पड़ा जिन्हें सामान्य फज़र सक्रिय नहीं कर पाए .

Rust की ओर Chrome का रुख

Chrome 151 में Google ने केवल पुराने बग ठीक नहीं किए, बल्कि भविष्य के बग रोकने की दिशा में भी कदम उठाया। Chrome के XML parsing इंजन को उन सामान्य परिस्थितियों के लिए memory-safe Rust implementation में बदला जा रहा है जहां XSLT की जरूरत नहीं होती .

Rust में बदलाव use-after-free और buffer overflow जैसी मेमोरी-सुरक्षा कमजोरियों की पूरी श्रेणी को स्रोत स्तर पर कम कर सकता है। हालांकि, इससे लॉजिक फ्लॉ या डिजाइन संबंधी कमजोरियां अपने-आप खत्म नहीं होतीं। इसलिए सुरक्षित भाषा, ऑटोमेटेड परीक्षण और मानवीय समीक्षा—तीनों की जरूरत बनी रहती है .

असली निष्कर्ष: AI इंसानों की जगह नहीं, उनकी क्षमता बढ़ाता है

Chrome 151 का उदाहरण AI को लेकर चल रही “इंसान बनाम मशीन” बहस को थोड़ा अलग ढंग से देखने को मजबूर करता है।

• AI और ऑटोमेशन का लाभ पैमाने और कवरेज में है। वे करोड़ों कोड पाथ और बार-बार दोहराए जाने वाले मेमोरी-सुरक्षा पैटर्न की जांच कर सकते हैं .
• मानव शोधकर्ताओं का लाभ गहराई और नवीनता में है। वे किसी फीचर का ऐसा इस्तेमाल सोच सकते हैं जिसे परीक्षण स्क्रिप्ट ने पहले परिभाषित ही नहीं किया हो।
• सबसे प्रभावी मॉडल human-guided automation है। मशीनें ज्ञात पैटर्न और बड़े पैमाने की जांच संभालें, जबकि इंसान लॉजिक फ्लॉ, exploit chain और असामान्य इंटरैक्शन पर ध्यान दें।

इसलिए Chrome 151 यह साबित नहीं करता कि AI ने इंसानी bug hunters को अप्रासंगिक बना दिया है। उलटे, यह दिखाता है कि दोनों की भूमिकाएं अलग हैं और एक-दूसरे को मजबूत करती हैं। अगस्त अपडेट में बाहरी शोधकर्ताओं द्वारा खोजी गई लगभग 30 प्रतिशत कमजोरियां इसी बात का संकेत हैं .

Chrome यूजर्स को क्या करना चाहिए?

डेस्कटॉप पर Chrome आमतौर पर अपने-आप अपडेट हो जाता है, लेकिन आप Settings > About Chrome में जाकर अपडेट की जांच कर सकते हैं। उपलब्ध संस्करण 151.0.7922.108/.109 या उससे नया होना चाहिए .

Android यूजर्स Play Store या डिवाइस की ऐप-अपडेट सेटिंग्स में Chrome का नवीनतम अपडेट देखें। जुलाई वाले Android रोलआउट में 151.0.7922.71/.72 संस्करण उपलब्ध कराया गया था .

क्योंकि CVE-2026-11645 का सक्रिय हमलों में इस्तेमाल होने की रिपोर्ट थी, इसलिए Chrome अपडेट को टालना उचित नहीं है .