Chrome 151 виправив понад 400 вразливостей — і показав, чому людські дослідники досі незамінні

Однак головне тут не лише число 411. Ця серія оновлень добре показує, як змінюється пошук помилок у великих програмних продуктах: автоматизація та інструменти на основі машинного навчання знаходять проблеми у величезному масштабі, але людські дослідники й досі виявляють сценарії, які важко заздалегідь описати для фузера.

Дві хвилі виправлень у Chrome 151

Оновлення 29 липня: 370 вразливостей і 7 критичних проблем

Перша стабільна хвиля вийшла для Windows, macOS і Linux у версіях Chrome 151.0.7922.71/.72; аналогічна версія також поширювалася на Android . Google виправив 370 вразливостей, серед яких сім отримали критичний рівень небезпеки .

Критичні CVE-2026-17650 — CVE-2026-17656 включали:

• помилки use-after-free у компонентах Compositing, Views, Skia та Ozone ;
• проблеми з недостатньою перевіркою вхідних даних у Dawn і графічному шарі ANGLE ;
• race condition — стан гонитви — у компоненті Updater .

Особливо важливою була CVE-2026-11645 — помилка читання та запису за межами дозволеної області пам’яті в рушії JavaScript V8. Вона має оцінку CVSS 8.8 і до випуску оновлення вже перебувала в каталозі CISA Known Exploited Vulnerabilities, тобто була пов’язана з реальною експлуатацією .

Оновлення 7 серпня: ще 41 проблема

Друга хвиля вийшла для Windows і macOS у версіях 151.0.7922.108/.109; для Linux у джерелах зазначена версія 151.0.7922.108 . Цього разу Google виправив 41 критичну та високорівневу вразливість, зокрема шість критичних .

Критичні помилки охоплювали:

• п’ять вразливостей use-after-free у WebGL, Aura, Skia та Views ;
• помилку запису за межами дозволеної області пам’яті (out-of-bounds write) у графічному рушії ANGLE .

Із 35 проблем високого рівня 24 були пов’язані з безпекою пам’яті — категорією, до якої належать, зокрема, помилки use-after-free та переповнення буфера .

Чому в різних повідомленнях фігурують 370, 382 і 411?

Підрахунок для всього життєвого циклу Chrome 151 не цілком однорідний. У деяких публікаціях згадується ще один червневий або попередній стабільний пакет із 382 виправленнями, включно з 15 критичними . У доступних матеріалах не завжди зрозуміло, чи йдеться про інший канал випуску, попередню збірку або частково перехресні виправлення.

Тому в цьому огляді використано підсумок двох чітко описаних стабільних релізів: 370 + 41 = 411 вразливостей.

Хто знаходив ці помилки: Google чи зовнішні дослідники?

Google використовує масштабний набір інструментів для тестування безпеки, зокрема AddressSanitizer, MemorySanitizer і Control Flow Integrity. Вони допомагають виявляти пошкодження пам’яті, небезпечні переходи виконання та інші типові класи помилок . Частина сучасних конвеєрів також застосовує машинне навчання, щоб спрямовувати фазинг до складних або потенційно небезпечних ділянок коду .

У першому оновленні внутрішні команди Google виявили 349 із 370 проблем — приблизно 94% усіх виправлень цієї хвилі . Це не означає, що кожну з них знайшов саме штучний інтелект: йдеться про сукупну роботу внутрішніх команд, фазерів, санітайзерів та інших автоматизованих засобів.

Що побачили люди, чого не побачила автоматизація

Зовнішні дослідники знайшли менше вразливостей у абсолютних цифрах, але їхній внесок був непропорційно важливим.

У першому оновленні зовнішні фахівці повідомили приблизно про 21–24 проблеми й отримали винагороди від 2 000 до 36 000 доларів. Найбільшою окремою виплатою стали 36 000 доларів за помилку use-after-free у GPU, зареєстровану як CVE-2026-13789 .

У другому оновленні зовнішні дослідники повідомили про 12 із 41 вразливості — майже третину всього набору . Серед названих авторів:

• Muhammad Alifa Ramdhan, Pan ZhenPeng і Billy Jheng Bing Jhong із STAR Labs SG Pte. Ltd. — автори звіту про вразливість use-after-free у WebGL, CVE-2026-19170 ;
• анонімний дослідник, який повідомив про іншу критичну помилку WebGL — CVE-2026-19137 ;
• SungHyun Kim, якому Google виплатив 5 000 доларів за CVE-2026-19169 — проблему з недостатньою перевіркою даних у Contextual Tasks .

Такі знахідки часто вимагають не просто перебрати безліч входів, а уявити поведінку атакувальника: поєднати кілька компонентів, відтворити рідкісну умову гонитви або простежити нетиповий шлях виконання програми .

Rust у Chrome: спроба не лише знаходити, а й не створювати такі помилки

Chrome 151 приніс не тільки виправлення. Google також оновлює XML-парсер браузера, переводячи поширені сценарії, де не потрібен XSLT, на реалізацію мовою Rust, яка забезпечує безпечніше керування пам’яттю .

Такий підхід має на меті усунути цілі класи помилок ще на етапі розробки. Він безпосередньо стосується проблем на кшталт use-after-free та переповнення буфера — саме тих категорій, які становили значну частину критичних вразливостей Chrome 151.

Втім, Rust не усуває логічні помилки, хибні налаштування чи недоліки дизайну. Безпека пам’яті — лише один шар захисту.

Висновок: ШІ не замінює дослідників, а розширює їхні можливості

Chrome 151 — наочний приклад моделі, яку фахівці з кібербезпеки описують як доповнення, а не заміну.

• Автоматизація сильна в масштабі. Фазинг і санітайзери можуть безперервно перевіряти величезну кількість шляхів виконання й добре знаходять повторювані шаблони — use-after-free, переповнення буфера та інші помилки роботи з пам’яттю .
• Люди сильні в контексті та новизні. Дослідник може помітити незвичний ланцюжок взаємодії компонентів, нетипову логічну умову або сценарій, який не був закладений у модель тестування .
• Найкраще працює людське керування автоматизацією. Машини розширюють охоплення пошуку, а люди вирішують, де шукати глибше і як перевірити нестандартну гіпотезу.

Тож 411 виправлень у Chrome 151 — це не доказ того, що ШІ вже замінив фахівців із безпеки. Радше навпаки: масштаб автоматизованого пошуку підкреслює цінність людських знахідок, які випадають за межі заздалегідь відомих шаблонів.

Що зробити користувачам Chrome

Настільна версія Chrome зазвичай оновлюється автоматично. Щоб перевірити версію вручну, відкрийте Налаштування → Про Chrome і переконайтеся, що встановлено щонайменше 151.0.7922.108/.109 або новішу версію .

Користувачам Android варто перевірити оновлення Chrome у Google Play або в системних налаштуваннях пристрою; для першої хвилі оновлення в джерелах зазначені версії 151.0.7922.71/.72 . Оскільки CVE-2026-11645 уже використовували під час атак, відкладати встановлення виправлень не варто .