Chrome 156 güncellemesi 353 güvenlik açığını kapatıyor, altısı kritik

Google, Chrome 156 sürümünü kararlı kanala aldı. Bu yalnızca yeni özellik getiren bir sürüm değil: güncelleme 353 güvenlik açığını kapatıyor ve bunların altısı Google’ın kendi derecelendirmesinde en yüksek seviye olan kritik sınıfında. Sürüm numarası Windows ile macOS’ta 156.0.8078.47/.48, Linux’ta 156.0.8078.47.

Google’ın duyurusunda açıklardan herhangi birinin gerçek saldırılarda kullanıldığına dair bir ifade yok. Ancak bu büyüklükte bir yama listesi, güncellemeyi ertelemeyi riskli hale getiriyor. Tarayıcı, kötü niyetli bir sayfa açıldığı anda saldırı yüzeyi olmaya devam ediyor.

Kritik açıklar hangileri

Altı kritik açığın beşi bellek bozulması, biri kullanım sonrası serbest bırakma hatası. Liste şöyle: CVE-2026-113341 (Skia), CVE-2026-113279 (Accessibility), CVE-2026-113072 (CSS), CVE-2026-113280 (Paint), CVE-2026-113303 (WebRTC) ve CVE-2026-113271 (Accessibility, use-after-free). Bu hataların ortak noktası, hazırlanmış bir HTML sayfası üzerinden belleğin bozulabilmesi.

NVD kayıtlarına göre sürümde düzeltilen açıklardan 14’ü CVSS 9.6 puanıyla değerlendirildi. Bu açıkların tanımı, kodun sandbox dışında çalıştırılabilmesine imkân veriyor. Kalan 114 açıkta etki sandbox içinde kalıyor; yani saldırganın tarayıcının güvenlik katmanını ayrıca aşması gerekiyor. Chromium’un kendi sınıflandırmasına göre dağılım 6 kritik, 61 yüksek, 197 orta ve 89 düşük seviye açık şeklinde.

Listenin ağırlığı bellek hatalarında

Chrome 156’da kapatılan açıkların büyük bölümü bellek güvenliğiyle ilgili. Düzeltmeler arasında 163 bellek bozulması, 125 use-after-free ve 17 sınır dışı okuma hatası var. Geri kalanların 36’sı hatalı girdi doğrulaması. Bu tablo, C++ tabanlı tarayıcı motorunda bellek güvenliği borcunun hâlâ en büyük kalem olduğunu gösteriyor.

Kullanıcı açısından pratik sonucu şu: bu açıkların çoğu, zararlı bir reklam ya da ele geçirilmiş bir site üzerinden uzaktan tetiklenebiliyor. Kullanıcının bir dosya indirmesi ya da bir bağlantıya tıklaması şart değil.

Güncelleme nasıl yapılır

Chrome’da adres çubuğuna chrome://settings/help yazın. Sayfa sürümü kontrol eder; 156.0.8078.47 veya üstü görünmüyorsa güncellemeyi başlatın ve tarayıcıyı yeniden başlatın. Güncelleme indikten sonra yeniden başlatma yapılmazsa eski sürüm çalışmaya devam eder.

Android’de sürüm Google Play üzerinden dağıtılıyor; mağazadaki güncellemeler ekranından kontrol edilebilir. Edge, Brave, Opera ve Vivaldi gibi Chromium tabanlı tarayıcılar aynı motoru kullandığı için düzeltmeleri kendi yayın takvimlerinde alıyor; bu tarayıcılarda da sürüm kontrolünü birkaç gün içinde yapmak gerekiyor.

Chrome 156’daki diğer yenilikler

Sürümde CSS tarafına random() fonksiyonu eklendi; seçilen aralıkta rastgele değer üretilebiliyor ve aynı değerin birden fazla öğede paylaşılması istenirse anahtar verilebiliyor. IndexedDB’nin arka ucu SQLite tabanına taşındı; bu değişiklik şimdilik yalnızca yeni oluşturulan veri depolarını kapsıyor. Ayrıca başarısız modül yüklemesi artık önbelleğe alınmadığı için import() çağrısı yeniden denenebiliyor.

Windows tarafında kullanıcı oturum açtığında Chrome’un otomatik başlaması kademeli olarak devreye giriyor. Kurumsal ortamlarda bu davranış LaunchOnStartupEnabled politikasıyla kapatılabiliyor.

Kaynak: Chrome Releases · NVD