Google, Chrome tarayıcısının XML bileşeninde bulunan ve saldırganın tarayıcı sandbox’ı içinde kod çalıştırmasına yol açabilen bir açığı kapattı. CVE-2026-125350 olarak izlenen zafiyet 10 Kasım 2026’da CISA’nın Bilinen Sömürülen Açıklar (KEV) listesine eklendi. Yani açık yalnızca laboratuvar koşullarında değil, gerçek saldırılarda kullanılıyor.
Açık nasıl çalışıyor?
Zafiyetin kaynağı, XML ayrıştırma sırasında serbest bırakılmış belleğe erişilmesi (use-after-free, CWE-416). Saldırganın özel hazırladığı bir web sayfasını açan kullanıcı, farkında olmadan tarayıcının güvenlik katmanı içinde rastgele kod çalıştırılmasına zemin hazırlıyor. NVD kaydında CVSS 3.1 puanı 8.8 (Yüksek). Saldırı ağdan yapılabiliyor, özel yetki gerekmiyor; tek koşul kullanıcının hazırlanan sayfayı açması.
Hangi tarayıcılar etkileniyor?
Açık Chromium motorunda olduğu için Google Chrome’un yanı sıra Microsoft Edge, Opera ve Brave gibi Chromium tabanlı tarayıcılar da aynı koddan etkileniyor. CISA kaydı da açığın Chrome, Edge ve Opera dahil birden fazla tarayıcıyı kapsadığını belirtiyor. Google, sorunu Chrome 157.0.8103.50 sürümünde giderdi. Diğer tarayıcılarda yamanın ilgili üreticiden gelmesi gerekiyor, bu yüzden sürüm kontrolü tarayıcı tarayıcı yapılmalı.
Ne yapmalı?
Chrome kullanıcıları adres çubuğuna chrome://settings/help yazıp sürümün 157.0.8103.50 veya üzeri olduğunu doğrulamalı. Tarayıcı güncellemeyi genelde arka planda indiriyor ancak etkinleşmesi için yeniden başlatılması gerekiyor; sekmeler açık kaldığı sürece eski, savunmasız sürüm çalışmaya devam ediyor. Kurumsal ortamlarda Chrome ve Edge dağıtımlarının sürüm raporları üzerinden kontrol edilmesi, güncellemeyi almayan makinelerin ayrıca ele alınması gerekiyor.
CISA, federal kurumlar için düzeltme süresini 24 Kasım 2026 olarak belirledi. Açık KEV listesinde fidye yazılımı kampanyalarıyla ilişkilendirildiği için yamayı ertelemek riski büyütüyor. Chromium tabanlı bir tarayıcı kullanan herkes için en hızlı önlem basit: tarayıcıyı kapatıp açmak ve güncellemeyi kurmak. Güncellenmeyen bir tarayıcıda ziyaret edilen her sayfa potansiyel saldırı yüzeyi haline geliyor.
Kaynak: CISA KEV · NVD
Deneyimini paylaş
Bir sorunun, farklı bir çözümün veya eklemek istediğin bir notun var mı? Giriş yapmadan da yazabilirsin.