שלוש הערכות של אותה חולשה מופיעות באותה רשומה, והן אינן אומרות אותו דבר. Chromium דירגה את חומרתה בינונית. הציון ב-NVD הוא 8.8. ו-CISA הכניסה אותה לרשימת החולשות שתוקפים מנצלים בפועל באותו יום שבו הרשומה פורסמה, ה-9 בספטמבר 2026. התיקון נמצא בגרסה 153.0.8010.36 של Google Chrome.

מה החולשה?

V8 הוא הרכיב בכרום שמריץ את קוד ה-JavaScript של כל עמוד שאתם פותחים. הוא מחזיק ערכים באזורי זיכרון שגודלם נקבע מראש. כתיבה מחוץ לתחום היא מצב שבו הקוד כותב מעבר לסוף האזור שהוקצה לו, אל זיכרון ששייך למשהו אחר. כשהתוקף שולט במה שנכתב ולאן, הוא יכול לשנות נתונים שהתוכנית תפעל לפיהם בהמשך ולהוביל אותה להריץ את מה שהוא בחר. בסיווג הרשמי זה נקרא כתיבה מחוץ לתחום.

הרשומה מציינת שההרצה מתרחשת בתוך ארגז החול. ארגז החול הוא תא מבודד שבו כרום מריץ את תוכן האתרים, וקוד שרץ בתוכו אינו מגיע ישירות לקבצים ולמערכת ההפעלה. תוקף שנעצר שם צריך חולשה נוספת כדי להתקדם.

וזה מסביר את הפער בין ההערכות. הדירוג של Chromium מודד כמה רחוק מגיע התוקף עם החולשה הזאת לבדה, ומכאן החומרה הבינונית. הציון 8.8 של NVD מודד את פרופיל התקיפה: מרחוק, מורכבות נמוכה, בלי הרשאות, ושלושת מדדי הנזק גבוהים. והכניסה לקטלוג של CISA אינה מודדת חומרה בכלל, אלא עונה על שאלה אחרת: האם יש ראיה שמשתמשים בה. שלוש הקביעות יכולות להיות נכונות בו זמנית.

מדד אחד בווקטור כן מציב תנאי: נדרשת פעולה של משתמש. מישהו צריך לפתוח את העמוד.

מי מושפע?

כל מי שמריץ Google Chrome בגרסה נמוכה מ-153.0.8010.36. זה מספר הגרסה היחיד שקובע כאן, והוא מה שכדאי להשוות מולו.

שווה לשים לב גם למה שהרשומה אינה אומרת: היא מונה את Google Chrome בלבד. דפדפנים אחרים שבנויים על אותו בסיס אינם מופיעים בה, וגרסת התיקון שלהם, אם וכאשר, מתפרסמת אצל היצרן שלהם ולא כאן.

האם מנוצלת בפועל?

כן. ב-9 בספטמבר 2026 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח. זה אותו יום שבו פורסמה הרשומה ב-NVD. המועד שנקבע לגופים הפדרליים בארצות הברית הוא ה-23 בספטמבר 2026.

מה עושים?

ודאו שמספר הגרסה שלכם הוא 153.0.8010.36 או גבוה יותר. זה המספר שקובע, לא הכותרת של העדכון ולא תאריך ההתקנה.

אם הדפדפן פתוח אצלכם כבר שבועות, אל תניחו שהוא כבר בדק. בדיקת העדכון היא מה שמפעיל את ההורדה, והיא רצה כשנכנסים למסך פרטי הגרסה. גם אחרי שההורדה מסתיימת, הגרסה החדשה נכנסת לתוקף רק בהפעלה מחדש של הדפדפן.

בארגון שבו העדכונים מנוהלים מרכזית, ההחלטה אינה בידי המשתמש. שם השאלה היא מול מי שמנהל את התחנות: האם הגרסה שאושרה להפצה היא 153.0.8010.36 ומעלה, ומתי היא מגיעה בפועל למחשבים.

הודעת הגרסה של גוגל היא המסמך הרשמי, והדיווח עצמו נמצא במעקב הבאגים של Chromium.