Chrome 151 закрыл 411 уязвимостей: почему люди всё ещё находят самые опасные баги
В двух стабильных обновлениях Chrome 151 Google устранил 370 и 41 уязвимость — всего 411 проблем, включая 13 критических. Автоматизированные системы Google, включая фаззинг и санитайзеры памяти, обнаружили подавляющее большинство проблем.
ОпубликовалОтредактировано с помощью DeepSeek-V4-FlashИзображения созданы с помощью GPT Image 1.5
В двух стабильных обновлениях Chrome 151 Google устранил 370 и 41 уязвимость — всего 411 проблем, включая 13 критических.
Автоматизированные системы Google, включая фаззинг и санитайзеры памяти, обнаружили подавляющее большинство проблем.
Chrome 151 показывает не замену людей искусственным интеллектом, а разделение ролей: автоматизация хорошо выявляет типовые ошибки работы с памятью, а специалисты находят сложные логические дефекты, гонки и цепочки атак.
What critical security vulnerabilities did Google address in the Chrome 151 update, how many flaws were patched across desktop and Android pChrome 151's two security updates patched 411 vulnerabilities, including 13 critical bugs and one actively exploited zero-day.
Промпт ИИ
Create a landscape editorial hero image for this Studio Global article: What critical security vulnerabilities did Google address in the Chrome 151 update, how many flaws were patched across desktop and Android p. Article summary: Here is the full picture of the Chrome 151 security update.. Topic tags: general, general web, documentation. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
За две недели Google выпустил два стабильных обновления Chrome 151 и устранил в них 411 документированных уязвимостей. В числе исправлений — 13 проблем критического уровня и уязвимость нулевого дня в V8, которой злоумышленники уже пользовались в реальных атаках .
Studio Global AI
Продолжайте свое исследование
На этой странице есть ответ, подтвержденный источником, который вы можете продолжить внутри Studio Global.
Каков краткий ответ на вопрос «Chrome 151 закрыл 411 уязвимостей: почему люди всё ещё находят самые опасные баги»?
В двух стабильных обновлениях Chrome 151 Google устранил 370 и 41 уязвимость — всего 411 проблем, включая 13 критических.
Какие ключевые моменты необходимо проверить в первую очередь?
В двух стабильных обновлениях Chrome 151 Google устранил 370 и 41 уязвимость — всего 411 проблем, включая 13 критических. Автоматизированные системы Google, включая фаззинг и санитайзеры памяти, обнаружили подавляющее большинство проблем.
Что мне делать дальше на практике?
Chrome 151 показывает не замену людей искусственным интеллектом, а разделение ролей: автоматизация хорошо выявляет типовые ошибки работы с памятью, а специалисты находят сложные логические дефекты, гонки и цепочки атак.
Но важна не только внушительная цифра. Эта серия патчей хорошо показывает, как сегодня ищут ошибки в сложном браузере: автоматизированные системы находят большинство типовых проблем, а люди по-прежнему обнаруживают наиболее необычные сценарии, которые трудно заранее описать для алгоритма.
Два обновления и 411 исправлений
29 июля: 370 уязвимостей
Первый крупный релиз вышел для Windows, macOS и Linux под номерами 151.0.7922.71/.72 для Windows и macOS и 151.0.7922.71 для Linux. Обновление устранило 370 уязвимостей: семь из них получили критический уровень, 71 — высокий, 170 — средний и 122 — низкий .
Критические проблемы, отслеживаемые как CVE-2026-17650 — CVE-2026-17656, включали:
ошибки use-after-free в компонентах Compositing, Views, Skia и Ozone;
недостаточную проверку недоверенных данных в Dawn и ANGLE;
состояние гонки в компоненте Updater .
Особенно важной была CVE-2026-11645 — уязвимость чтения и записи за пределами выделенной области памяти в движке JavaScript V8. Её оценка CVSS составляет 8,8, а до выхода исправления она уже находилась в каталоге CISA Known Exploited Vulnerabilities, то есть была подтверждённо использована в атаках .
Это не означает, что все 370 исправлений были связаны с активными атаками. Однако наличие хотя бы одной уже эксплуатируемой проблемы делает обновление приоритетным.
7 августа: ещё 41 проблема
Второй релиз для настольных систем вышел под номерами 151.0.7922.108/.109 для Windows и macOS и 151.0.7922.108 для Linux. Он закрыл ещё 41 уязвимость: шесть критических и 35 высокого уровня .
Шесть критических проблем включали:
пять ошибок use-after-free в WebGL, Aura, Skia и Views;
запись за пределами выделенной области памяти в графическом движке ANGLE .
Из 35 уязвимостей высокой серьёзности 24 относились к ошибкам безопасности памяти — дефектам, которые могут приводить к сбоям, повреждению данных или выполнению произвольного кода .
Почему встречаются цифры 382 и 411
В публикациях о Chrome 151 встречается и другая цифра — 382 исправления, включая 15 критических. Она относится к более ранним июньским сообщениям, однако доступные отчёты не дают однозначного ответа, отражают ли эти данные отдельную сборку, исправления до выхода в стабильный канал или пересекающиеся патчи .
В этой статье используются цифры из двух наиболее чётко документированных стабильных релизов: 370 + 41 = 411 исправлений. Первое обновление распространялось также на Android с версиями 151.0.7922.71/.72. Для второго набора из 41 исправления сведения о покрытии Android в доступных источниках менее однозначны.
Кто находил уязвимости: автоматизация против людей
Метод поиска
Релиз 29 июля: 370 исправлений
Релиз 7 августа: 41 исправление
Внутренние команды Google, фаззинг и автоматизированные инструменты
около 349
около 29
Внешние исследователи через bug bounty
около 21–24
12
Выплаты внешним исследователям
58 500 долларов суммарно
5 000 долларов за одну CVE и две выплаты по 500 долларов
Google применяет фаззинг, ориентированный на покрытие кода, а также инструменты AddressSanitizer, MemorySanitizer и Control Flow Integrity. Такие системы специально ищут признаки повреждения памяти и могут направлять тестирование в сложные или потенциально опасные участки браузера .
В результате автоматизация особенно хорошо находит знакомые классы ошибок: use-after-free, переполнения буфера и использование неинициализированной памяти. В первом июльском релизе 349 из 370 проблем были обнаружены внутри Google — это примерно 94% исправлений .
Что нашли внешние исследователи
Вклад людей оказался количественно меньше, но с точки зрения безопасности — принципиально важным.
В июльском выпуске внешние исследователи сообщили примерно о 21–24 проблемах. Размер отдельных вознаграждений составлял от 2 000 до 36 000 долларов. Максимальная выплата — 36 000 долларов — была связана с уязвимостью use-after-free в графическом компоненте GPU, получившей идентификатор CVE-2026-13789.
Во втором обновлении 12 из 41 проблем были найдены внешними специалистами — почти треть всего набора исправлений . Среди указанных Google исследователей:
Мухаммад Алифа Рамдан, Pan ZhenPeng и Billy Jheng Bing Jhong из STAR Labs SG Pte. Ltd. — авторы сообщения об ошибке use-after-free в WebGL (CVE-2026-19170) ;
анонимный исследователь, сообщивший о другой критической уязвимости use-after-free в WebGL (CVE-2026-19137) ;
SungHyun Kim, получивший 5 000 долларов за уязвимость недостаточной проверки данных в Contextual Tasks (CVE-2026-19169) .
Подобные находки часто требуют не просто запускать браузер с большим количеством случайных входных данных, а рассуждать как атакующий: связывать несколько компонентов, искать редкие состояния гонки и прослеживать нестандартные пути выполнения программы .
Почему Rust не отменяет поиск уязвимостей
В Chrome 151 Google представил и профилактическое изменение: для распространённых сценариев, где не требуется XSLT, XML-парсер браузера переводится на реализацию на Rust с безопасностью памяти .
Такой подход помогает устранить целые классы ошибок ещё на этапе разработки — прежде всего use-after-free и переполнения буфера. Но Rust не делает программу автоматически защищённой от логических ошибок, неверной архитектуры или опасного взаимодействия компонентов.
Иными словами, переход на memory-safe язык снижает риск повреждения памяти, но не отменяет ни автоматического тестирования, ни независимых проверок.
Главный вывод: не замена, а совместная работа
Chrome 151 — показательный пример того, почему разговоры об ИИ в кибербезопасности нельзя сводить к формуле «машины заменят людей».
Автоматизация обеспечивает масштаб. Фаззеры и санитайзеры перебирают огромное количество вариантов и эффективно выявляют повторяющиеся шаблоны ошибок памяти .
Люди обеспечивают глубину. Исследователи ищут неожиданные комбинации условий, логические дефекты, гонки и потенциальные цепочки эксплуатации.
Наиболее рабочая модель — автоматизация под руководством человека. Машины расширяют охват, а специалисты решают, где искать, как интерпретировать результат и можно ли превратить редкий сбой в реальную атаку.
Во втором обновлении Chrome 151 внешние исследователи нашли 12 из 41 уязвимости — показатель, который прямо противоречит идее о скором исчезновении человеческого bug bounty. Автоматизированные инструменты уже незаменимы для поиска типовых проблем, но самые трудные «неизвестные неизвестные» по-прежнему требуют человеческой изобретательности .
Что делать пользователям
Chrome на компьютере обычно обновляется автоматически. Проверить версию можно в меню Настройки → О браузере Chrome. Для защиты от проблем, описанных во втором выпуске, следует убедиться, что установлена версия 151.0.7922.108/.109 или более новая .
На Android нужно открыть магазин приложений и проверить наличие обновления Chrome; для первого релиза указывались версии 151.0.7922.71/.72.
С учётом того, что CVE-2026-11645 уже использовалась в реальных атаках, откладывать установку обновления не стоит .
infosecurity-magazine.com
Google Releases Patches for 370 Vulnerabilities in ...
