כל מה שהיה צריך זה שתיכנסו לעמוד אינטרנט. בלי להוריד קובץ, בלי לאשר התקנה, בלי ללחוץ על כלום. שלוש חולשות שחברת האבטחה XBOW מצאה בכרום, כשהן מחוברות זו לזו, הוציאו הרצת קוד מתוך הדפדפן אל ווינדוס עצמו. גוגל אישרה את שלושתן, תיקנה אותן בסוף אוגוסט ובתחילת ספטמבר ושילמה 250 אלף דולר, הפרס הגבוה ביותר שלה על דיווח אחד. ומה שהפך את זה לסיפור הוא בכלל לא החולשות.

מה קרה

כרום לא מריץ את הקוד של עמוד אינטרנט ישר על המחשב שלכם. הוא סוגר אותו בשתי שכבות בידוד, חדר אטום בתוך חדר אטום, כך שגם אם עמוד זדוני משתלט על המקום שבו הוא רץ הוא עדיין לא נוגע בקבצים ובסיסמאות שלכם. לשכבות האלה קוראים sandbox. מי שרוצה להגיע מעמוד אינטרנט עד המחשב צריך לשבור את כולן בזו אחר זו, ולזה קוראים שרשרת מלאה.

שלוש החולשות ישבו בשלושה מקומות שונים. הראשונה, במנוע שמריץ JavaScript, נתנה לתוקף שליטה על הזיכרון בתוך המנוע. השנייה, ברכיב שמפרסר תמונות WebP מונפשות, ניצלה את השליטה הזאת כדי לצאת מהבידוד הפנימי ולכתוב ערך אחד מדויק לזיכרון. השלישית ישבה ברכיב שמטפל בקריסות של הדפדפן, רכיב שרץ ממילא מחוץ לבידוד, והפכה את הכתיבה הבודדת הזאת להרצת קוד על ווינדוס.

את השרשרת בנה צוות שהפעיל סוכני AI על בסיס GPT-5.6 Sol, מודל שזמין לכל אחד. הסוכנים חרשו את קוד המקור של כרום, בדקו רעיונות וכתבו את הטיוטות הראשונות של התקיפה, והחוקרים בחרו את המטרות, ערערו על התוצאות והחליטו אילו חלקים לחבר. השרשרת שזכתה בפרס נבנתה בין 2 ל-7 באוגוסט. שני המספרים האלה, שישה ימים וכ-40 אלף דולר של חישוב, מגיעים מ-XBOW עצמה ולא אומתו מבחוץ, והם לא כוללים את מה שקדם להם: החברה הציבה את האתגר בינואר, והשרשרת המלאה הראשונה שהשלימה לקחה חודשיים. אחד החוקרים, ברנדן דולן-גאוויט, כתב שלפני עידן מודלי השפה שרשרת כזאת הייתה לוקחת לצוות של ארבעה אנשים בין שישה לתשעה חודשים.

למה זה חשוב לכם

כרום הוא הדפדפן הנפוץ ביותר בישראל, ולפי האומדן של XBOW עצמה שלוש החולשות חשפו כמיליארד משתמשי כרום בווינדוס לתקיפה מהסוג הזה. אבל החברה אומרת שהן לא נוצלו נגד אף אחד וגוגל סגרה את שלושתן, כך שהסיכון הישיר מהמקרה הזה נגמר. מה שלא נגמר זה המחיר. כשבנייה של שרשרת תקיפה מלאה לדפדפן יורדת מחצי שנה של צוות שלם לשבוע של אדם אחד עם סוכני AI, יותר אנשים יגיעו לשרשרות כאלה, ולא כולם ימסרו אותן לגוגל תמורת פרס. הזמן שעובר מיציאת תיקון עד שהתקנתם אותו הופך לנכס של התוקף.

מה עושים?

ודאו שכרום מעודכן, ובעיקר שהפעלתם אותו מחדש. העדכון יורד ברקע לבד, אבל נכנס לתוקף רק אחרי סגירה ופתיחה של הדפדפן, כך שדפדפן שפתוח אצלכם שבועיים עלול לרוץ עם תיקון שירד ולא חל. בתפריט שלוש הנקודות, תחת עזרה ואז על Google Chrome, הדפדפן בודק עדכונים ומציג כפתור הפעלה מחדש. הגרסה היציבה שיצאה ב-13 באוקטובר היא 155.0.8059.79.

אם אתם משתמשים ב-Edge, ב-Brave או ב-Opera, עדכנו גם אותם. הם בנויים על אותו מנוע, והתיקון מגיע אליהם בעדכון נפרד.

אל תדחו את ההפעלה מחדש בגלל הלשוניות הפתוחות. כרום מחזיר אותן אחרי האתחול.

שלוש החולשות האלה נסגרו לפני חודשיים. הפער שלא נסגר הוא בין הזמן שלוקח היום לבנות תקיפה כזאת לזמן שלוקח לכם ללחוץ על "הפעל מחדש".