Chrome’a 29 açığı kapatan güncelleme geldi

Google, Chrome tarayıcısı için 156.0.8078.73 sürümünü yayınladı. NVD kayıtlarına yansıyan 29 güvenlik açığı bu sürümle kapatıldı. Açıkların tamamı hazırlanmış bir HTML sayfası üzerinden tetiklenebiliyor ve tarayıcının korumalı alanı (sandbox) içinde kod çalıştırmaya kadar gidebiliyor.

Hangi bileşenlerde açık vardı

Kapatılan açıklar Chrome’un temel bileşenlerine dağılmış durumda. Liste V8 JavaScript motoru, Skia grafik kütüphanesi, WebAudio, WebRTC, PDFium, FileAPI, SVG, Layout, Compositing, Paint ve ReadingList gibi parçaları içeriyor. Açık türleri üç başlıkta toplanıyor: bellek bozulması (memory corruption), serbest bırakılmış belleğe erişim (use-after-free) ve girdi doğrulama eksikliği.

NVD, açıkların hepsine 8.8 CVSS puanı veriyor. Chromium’un kendi güvenlik değerlendirmesinde ise üç açık kritik seviyede işaretlenmiş: Skia’daki girdi doğrulama hatası (CVE-2026-118348), Layout bileşenindeki use-after-free (CVE-2026-118344) ve FileAPI’deki girdi doğrulama hatası (CVE-2026-118331). Diğer kayıtlar yüksek seviyede.

Kullanıcı için risk ne demek

Bu tür açıklarda saldırganın ihtiyacı olan tek şey, kullanıcının hazırlanmış bir sayfayı açması. Sayfa yüklendiğinde bellek hatası tetikleniyor ve tarayıcı süreci içinde kod çalıştırılabiliyor. Tek başına bilgisayarın tamamının ele geçirilmesi anlamına gelmiyor; ancak saldırı zincirinin ilk halkası olarak kullanılabiliyor.

Açıkların şu anda aktif olarak sömürüldüğüne dair bir işaret yok. Kayıtlar CISA’nın bilinen sömürülen açıklar (KEV) listesinde yer almıyor. Yine de tarayıcı, masaüstündeki en çok dış veri alan uygulama olduğu için güncellemeyi geciktirmenin anlamı yok.

Güncelleme nasıl yapılır

Chrome’u açıp sağ üstteki üç noktaya tıklayın, Yardım altından Chrome hakkında seçeneğine girin. Sürüm 156.0.8078.73 olarak görünmüyorsa güncelleme hemen iner; ardından Yeniden başlat düğmesine basmak yeterli. Adres çubuğuna chrome://settings/help yazarak da aynı ekrana ulaşabilirsiniz.

Otomatik güncelleme açıksa dosya arka planda iner, ama tarayıcı tamamen kapatılıp açılmadıkça devreye girmez. Bu yüzden uzun süre sekme açık tutan kullanıcılar eski sürümde kalabiliyor.

Düzeltme masaüstü sürümlerinin yanında mobil tarafı da kapsıyor. Android’e özel UI bileşenindeki açık CVE-2026-118314 ile macOS’taki ANGLE hatası CVE-2026-118329 aynı duyuruda kapatıldı. Android’de Play Store üzerinden güncellemeyi kontrol etmek gerekiyor. Linux dağıtımlarında ise güncelleme, dağıtımın paket yöneticisinden geliyor.

Chromium altyapısını kullanan Edge, Brave, Opera ve Vivaldi gibi tarayıcılar aynı düzeltmeleri genellikle birkaç gün içinde kendi sürümlerine taşıyor. Bu tarayıcıları kullananların kendi sürüm numaralarını kontrol etmesi yeterli. Google, ayrıntıları kullanıcıların çoğu güncellemeyi alana kadar paylaşmıyor; sürüm notları Chrome Releases blogunda yayınlandı.

Kaynak: NVD