Güvenlik açığı, 10 üzerinden 8.8'lik bir CVSS skoruna sahip ve bu da onu "yüksek önem dereceli" kategorisine sokuyor . Başarılı bir saldırı, kötü niyetli bir kişinin kurbanın sisteminde tarayıcı sürecinin yetki seviyesinde kod çalıştırabileceği anlamına geliyor. Bu yetki genellikle kötü amaçlı yazılım yüklemek, veri çalmak veya sisteme daha derinlemesine sızmak için yeterlidir. Google'ın açıklaması, hatanın "uzak bir saldırganın bir HTML sayfası aracılığıyla korumalı alan içinde keyfi kod yürütmesine izin verdiği" gibi standart bir ifade kullansa da, sınır dışı okuma/yazma hatalarının doğası, saldırganların ASLR (Adres Alanı Düzeni Rastgeleleştirmesi) gibi koruma mekanizmalarını atlatmasını da pratikte mümkün kılıyor .

Yama Detayları ve Zaman Çizelgesi

Acil durum güncellemesi, 8 Haziran 2026'da, tek bir sürümde toplam 74 güvenlik açığını düzelten daha geniş bir paket dahilinde Masaüstü Kararlı (Stable Desktop) kanalına sunuldu . Google, CVE-2026-11645 için bir istismar kodunun "doğada var olduğunu" (yani aktif olarak kullanıldığını) doğruladı. Bu, masaüstü bilgisayarında Chrome kullanan herkes için bu güncellemeyi acil ve zorunlu kılıyor .

Yamalı sürümler şunlardır:

• Windows ve macOS: Chrome 149.0.7827.102 / 149.0.7827.103
• Linux: Chrome 149.0.7827.102

Chrome Kararlı güncellemelerinde standart olduğu üzere, yama kademeli olarak günler ve haftalar içinde dağıtılır. Ancak kullanıcılar Chrome menüsü > Yardım > Google Chrome Hakkında yolunu izleyerek güncellemeyi manuel olarak başlatabilirler.

Hata Ödülü ve Açıklanma Süreci

"303f06e3" takma adını kullanan anonim bir güvenlik araştırmacısı, zafiyeti 27 Nisan 2026'da keşfetti ve Google'a bildirdi . Google, bulgu için 55.000 dolarlık bir ödül verdi; bu, Chrome Güvenlik Açığı Ödül Programı'nın yüksek etkili V8 bellek bozulması hataları için belirlediği ödül seviyeleriyle uyumludur . Şirket, bu güncelleme döngüsüne ait resmi Chrome Sürüm Notları blog yazısında ödül miktarını özet bilgide belirtmiş olsa da, genellikle güvenlik bültenlerinde her bir zafiyet için ödül rakamlarını ayrı ayrı açıklamaz .

2026'nın Daha Geniş Chrome Sıfır-Gün Resmi

CVE-2026-11645 ile birlikte, yalnızca 2026 yılı içinde şu ana kadar beş adet aktif olarak istismar edilen Chrome sıfır-gün açığı yamalandı . Haziran ayından önceki tam liste, tarayıcı istismarlarının giderek artan bir hızla arttığını gösteriyor:

• CVE-2026-2441 (Şubat 2026): Chrome'un CSS işleme biriminde, özel olarak hazırlanmış HTML sayfaları aracılığıyla korumalı alan içinde kod çalıştırmaya izin veren bir "kullanımdan sonra serbest bırakma" (use-after-free) hatası .
• CVE-2026-3909 (12 Mart 2026): Chrome'un grafik işleme altyapısının temelini oluşturan Skia 2B grafik kütüphanesindeki bir sınır dışı yazma zafiyeti .
• CVE-2026-3910 (12 Mart 2026): V8 motorunda, tarayıcı korumalı alanı içinde keyfi kod yürütmeye izin veren uygunsuz bir uygulama hatası. CVE-2026-3909 ile aynı güncellemeyle yamalandı .
• CVE-2026-5281 (1 Nisan 2026): Chrome'un platformlar arası WebGPU uygulaması olan Dawn'daki bir kullanımdan sonra serbest bırakma hatası. ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), bu açığı Bilinen İstismar Edilen Güvenlik Açıkları Kataloğu'na ekledi ve federal kurumların belirli bir tarihe kadar yama yapmasını zorunlu kıldı .
• CVE-2026-11645 (Haziran 2026): Bu acil güncellemeyle yamalanan V8 sınır dışı okuma/yazma sıfır-gün açığı .

Beş zafiyetin de yamalar yayınlanmadan önce doğada aktif olarak istismar edildiği doğrulandı. Bu durum, 2026'yı önceki yıllara kıyasla çok daha yoğun bir Chrome sıfır-gün temposuna sokuyor. Yamalama döngüsünü takip eden birçok kaynak, artık her ayki güvenlik açıklama bültenlerinde sıklıkla en az bir aktif olarak istismar edilen hata bulunduğunu ve bunun BT ekipleri üzerinde tarayıcı yazılımları için yama döngülerini kısaltmaları yönünde sürekli bir baskı yarattığını belirtiyor .

Kullanıcılar Ne Yapmalı?

Chrome genellikle arka planda kendini günceller, ancak otomatik dağıtımın tüm kullanıcılara ulaşması günler sürebilir. Anında korunmak için Chrome'u açın, sağ üst köşedeki üç noktalı menüye tıklayın, Yardım > Google Chrome Hakkında seçeneğini seçin ve tarayıcının güncellemeleri kontrol edip uygulamasına izin verin. Sürüm numaranız Windows ve Linux'ta 149.0.7827.102 veya üzeri, macOS'ta ise 149.0.7827.103 veya üzeri olarak görünmelidir .

Chrome dağıtımlarını yöneten kuruluşlar, tüm uç noktaların en son kararlı sürümü aldığını doğrulamalı ve bu planlanmamış (out-of-band) yama için dağıtım zaman çizelgelerini hızlandırmayı düşünmelidir. Doğada aktif kullanım onaylanmış durumu, Chrome'un eski bir sürümünü çalıştıran herhangi bir sistemin hâlâ aktif saldırı riskine açık olduğu anlamına gelir.

Güvenlik açığı, 10 üzerinden 8.8'lik bir CVSS skoruna sahip ve bu da onu "yüksek önem dereceli" kategorisine sokuyor . Başarılı bir saldırı, kötü niyetli bir kişinin kurbanın sisteminde tarayıcı sürecinin yetki seviyesinde kod çalıştırabileceği anlamına geliyor. Bu yetki genellikle kötü amaçlı yazılım yüklemek, veri çalmak veya sisteme daha derinlemesine sızmak için yeterlidir. Google'ın açıklaması, hatanın "uzak bir saldırganın bir HTML sayfası aracılığıyla korumalı alan içinde keyfi kod yürütmesine izin verdiği" gibi standart bir ifade kullansa da, sınır dışı okuma/yazma hatalarının doğası, saldırganların ASLR (Adres Alanı Düzeni Rastgeleleştirmesi) gibi koruma mekanizmalarını atlatmasını da pratikte mümkün kılıyor .

Yama Detayları ve Zaman Çizelgesi

Acil durum güncellemesi, 8 Haziran 2026'da, tek bir sürümde toplam 74 güvenlik açığını düzelten daha geniş bir paket dahilinde Masaüstü Kararlı (Stable Desktop) kanalına sunuldu . Google, CVE-2026-11645 için bir istismar kodunun "doğada var olduğunu" (yani aktif olarak kullanıldığını) doğruladı. Bu, masaüstü bilgisayarında Chrome kullanan herkes için bu güncellemeyi acil ve zorunlu kılıyor .

Yamalı sürümler şunlardır:

• Windows ve macOS: Chrome 149.0.7827.102 / 149.0.7827.103
• Linux: Chrome 149.0.7827.102

Chrome Kararlı güncellemelerinde standart olduğu üzere, yama kademeli olarak günler ve haftalar içinde dağıtılır. Ancak kullanıcılar Chrome menüsü > Yardım > Google Chrome Hakkında yolunu izleyerek güncellemeyi manuel olarak başlatabilirler.

Hata Ödülü ve Açıklanma Süreci

"303f06e3" takma adını kullanan anonim bir güvenlik araştırmacısı, zafiyeti 27 Nisan 2026'da keşfetti ve Google'a bildirdi . Google, bulgu için 55.000 dolarlık bir ödül verdi; bu, Chrome Güvenlik Açığı Ödül Programı'nın yüksek etkili V8 bellek bozulması hataları için belirlediği ödül seviyeleriyle uyumludur . Şirket, bu güncelleme döngüsüne ait resmi Chrome Sürüm Notları blog yazısında ödül miktarını özet bilgide belirtmiş olsa da, genellikle güvenlik bültenlerinde her bir zafiyet için ödül rakamlarını ayrı ayrı açıklamaz .

2026'nın Daha Geniş Chrome Sıfır-Gün Resmi

CVE-2026-11645 ile birlikte, yalnızca 2026 yılı içinde şu ana kadar beş adet aktif olarak istismar edilen Chrome sıfır-gün açığı yamalandı . Haziran ayından önceki tam liste, tarayıcı istismarlarının giderek artan bir hızla arttığını gösteriyor:

• CVE-2026-2441 (Şubat 2026): Chrome'un CSS işleme biriminde, özel olarak hazırlanmış HTML sayfaları aracılığıyla korumalı alan içinde kod çalıştırmaya izin veren bir "kullanımdan sonra serbest bırakma" (use-after-free) hatası .
• CVE-2026-3909 (12 Mart 2026): Chrome'un grafik işleme altyapısının temelini oluşturan Skia 2B grafik kütüphanesindeki bir sınır dışı yazma zafiyeti .
• CVE-2026-3910 (12 Mart 2026): V8 motorunda, tarayıcı korumalı alanı içinde keyfi kod yürütmeye izin veren uygunsuz bir uygulama hatası. CVE-2026-3909 ile aynı güncellemeyle yamalandı .
• CVE-2026-5281 (1 Nisan 2026): Chrome'un platformlar arası WebGPU uygulaması olan Dawn'daki bir kullanımdan sonra serbest bırakma hatası. ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), bu açığı Bilinen İstismar Edilen Güvenlik Açıkları Kataloğu'na ekledi ve federal kurumların belirli bir tarihe kadar yama yapmasını zorunlu kıldı .
• CVE-2026-11645 (Haziran 2026): Bu acil güncellemeyle yamalanan V8 sınır dışı okuma/yazma sıfır-gün açığı .

Beş zafiyetin de yamalar yayınlanmadan önce doğada aktif olarak istismar edildiği doğrulandı. Bu durum, 2026'yı önceki yıllara kıyasla çok daha yoğun bir Chrome sıfır-gün temposuna sokuyor. Yamalama döngüsünü takip eden birçok kaynak, artık her ayki güvenlik açıklama bültenlerinde sıklıkla en az bir aktif olarak istismar edilen hata bulunduğunu ve bunun BT ekipleri üzerinde tarayıcı yazılımları için yama döngülerini kısaltmaları yönünde sürekli bir baskı yarattığını belirtiyor .

Kullanıcılar Ne Yapmalı?

Chrome genellikle arka planda kendini günceller, ancak otomatik dağıtımın tüm kullanıcılara ulaşması günler sürebilir. Anında korunmak için Chrome'u açın, sağ üst köşedeki üç noktalı menüye tıklayın, Yardım > Google Chrome Hakkında seçeneğini seçin ve tarayıcının güncellemeleri kontrol edip uygulamasına izin verin. Sürüm numaranız Windows ve Linux'ta 149.0.7827.102 veya üzeri, macOS'ta ise 149.0.7827.103 veya üzeri olarak görünmelidir .

Chrome dağıtımlarını yöneten kuruluşlar, tüm uç noktaların en son kararlı sürümü aldığını doğrulamalı ve bu planlanmamış (out-of-band) yama için dağıtım zaman çizelgelerini hızlandırmayı düşünmelidir. Doğada aktif kullanım onaylanmış durumu, Chrome'un eski bir sürümünü çalıştıran herhangi bir sistemin hâlâ aktif saldırı riskine açık olduğu anlamına gelir.