לפני חמישה ימים עדכנו כאן על חולשה ב-Chrome שגוגל תיקנה רק אחרי שכבר תקפו דרכה. השבוע חזר אותו משפט בדיוק, על חולשה אחרת ובאותו רכיב: לגוגל ידוע שקיים ניצול של CVE-2026-87491 בשטח. הפעם היא הגיעה בתוך חבילה גדולה בהרבה, 230 חולשות בעדכון אחד, והגרסה שסוגרת אותה היא 153.0.8010.36.

מה קרה

הרכיב המדובר נקרא V8, והוא החלק ב-Chrome שמריץ את הקוד שהאתר שאתם גולשים בו שולח לדפדפן. כדי לעבוד מהר הוא שומר נתונים באזורים מוגדרים מראש בזיכרון, כל אזור בגודל ידוע. החולשה החדשה מאפשרת לגרום לו לכתוב מעבר לקצה של אזור כזה, כלומר לדרוס מידע ששייך למשהו אחר לגמרי, ומשם להשפיע על מה שהמנוע יעשה בהמשך ולהגיע להרצת קוד. לסוג הבאג הזה קוראים out-of-bounds write, וכל מה שנדרש כדי להפעיל אותו הוא דף אינטרנט אחד עם ה-JavaScript המתאים.

ההבדל מהפעם הקודמת נמצא בפרטים ולא בעיקרון. אז מדובר היה בבאג שגורם למנוע להתבלבל בין סוגי נתונים, עכשיו בכתיבה אל מחוץ לתחום. שתי הדרכים מגיעות לאותו מקום.

את החולשה דיווח לגוגל ג'יהיון ג'ונג ממעבדת Compsec של האוניברסיטה הלאומית של סיאול, שקיבל עליה פרס של 2,500 דולר. מי ניצל אותה, נגד מי ובאיזה היקף, גוגל לא אמרה, וזאת המדיניות הקבועה שלה: הפרטים הטכניים נשארים סגורים עד שרוב המשתמשים מספיקים להתעדכן. מתוך 230 החולשות שבעדכון, 195 דווחו על ידי גוגל עצמה, רובן באמצעות כלים אוטומטיים שמחפשים באגים בניהול הזיכרון. אחת מהנותרות רשומה בעדכון על שם צוות האבטחה של OpenAI Codex. מלבד היום-אפס נסגרו גם חמש חולשות בדירוג קריטי ברכיבי WebGL ו-Cast, שאחראים להצגת גרפיקה תלת-ממדית ולשידור תוכן למסך חיצוני.

למה זה חשוב לכם

Chrome הוא הדפדפן שרוב הישראלים גולשים בו, ואותו מנוע יושב גם ב-Edge, ב-Brave, ב-Opera וב-Vivaldi. כשגוגל מתקנת, התיקון מגיע אליהם בדרך כלל כמה ימים אחרי.

כמו בפעם הקודמת, הקוד רץ בתוך שכבת הבידוד של הדפדפן, מנגנון שנקרא sandbox ותפקידו למנוע מקוד של אתר לגעת בשאר המחשב. זה מקטין את הנזק הישיר, וזה לא מבטל אותו.

מה שמשתנה כאן הוא לא חומרת החולשה הבודדת אלא הקצב. לפי הספירה של גוגל זו החולשה השביעית ב-Chrome השנה שתוקנה רק אחרי שכבר נוצלה בשטח, ושתיים מהן נפלו לתוך אותו שבוע. המשמעות המעשית פשוטה: דפדפן שנשאר פתוח שבועיים בלי אתחול הוא דפדפן שרץ עם חולשה שכבר יש לה תיקון.

מה עושים?

פתחו את תפריט שלוש הנקודות בפינת הדפדפן, היכנסו לעזרה ואז לאודות Google Chrome. הדפדפן יבדוק לבד ויוריד את העדכון. הגרסה שאתם רוצים לראות היא 153.0.8010.36 בווינדוס ובלינוקס, ו-153.0.8010.37 ב-Mac.

בסוף ההורדה יופיע כפתור להפעלה מחדש, וזה החלק שאי אפשר לדלג עליו. עד שהדפדפן לא נסגר ונפתח, התיקון פשוט לא בתוקף.

משתמשי Edge, Brave, Opera ו-Vivaldi: אותה בדיקה בדיוק, דרך מסך האודות של הדפדפן שלכם. אם העדכון עדיין לא זמין אצלכם, בדקו שוב בימים הקרובים.

גוגל אמרה שהעדכון עשוי לקחת ימים ואף שבועות עד שיגיע לכל המשתמשים בעולם. מי שלא רוצה לחכות עושה את זה בעצמו בפחות מדקה.