Chrome’a 21 açık kapatan güvenlik güncellemesi

Google, Chrome tarayıcısı için 21 güvenlik açığını kapatan yeni bir masaüstü sürümü yayımladı. Stable ve Extended Stable kanallarındaki tarayıcılar Windows ve Mac’te 156.0.8078.79/.80 sürümüne, Linux’ta ise 156.0.8078.79 sürümüne yükseltildi. Güncelleme kullanıcılara kademeli olarak dağıtılıyor, bu yüzden herkesin tarayıcısına aynı anda düşmeyebilir.

En yüksek risk MediaStream bileşeninde

Listedeki en ciddi açık, CVE-2026-76024 numarasıyla izlenen MediaStream belleği bozulması hatası. Google bu açığı Chromium ölçeğinde kritik olarak sınıflandırdı; NVD tarafında ise CVSS puanı 6.5 ile orta seviyede kayıtlı. Açık, hazırlanmış bir HTML sayfası üzerinden saldırganın tarayıcının korumalı alanı (sandbox) içinde belleği okumasına yol açabiliyor. Tarayıcıda yayınlanan içeriğin bu tür bir hatayı tetikleyebilmesi, sıradan bir web sayfasının bile saldırı yüzeyi olabileceği anlamına geliyor.

Yedi yüksek riskli açık kod çalıştırmaya uzanıyor

Güncellemedeki yüksek riskli açıkların büyük bölümü bellek bozulması ve serbest bırakılmış bellek kullanımı (use-after-free) hatalarından oluşuyor. Bu koşuda tespit edilen yedi açığın tamamı CVSS 8.8 puanında ve Chromium ölçeğinde yüksek olarak işaretli:

CVE-2026-76031 Input bileşeninde serbest bırakılmış bellek kullanımı. CVE-2026-76030 FileSystem’da bellek bozulması. CVE-2026-76029 Network’te bellek bozulması. CVE-2026-76028 FileSystem’da serbest bırakılmış bellek kullanımı. CVE-2026-76026 Autofill’de bellek bozulması. CVE-2026-76025 yine FileSystem’da serbest bırakılmış bellek kullanımı. CVE-2026-119271 ise Skia grafik motorunda serbest bırakılmış bellek kullanımı.

NVD kayıtlarına göre bu açıkların her biri, hazırlanmış bir HTML sayfası aracılığıyla uzaktan saldırganın korumalı alan içinde rastgele kod çalıştırmasına imkân verebiliyor. FileSystem bileşeninin aynı bültende üç ayrı hatayla yer alması dikkat çekici; Google, hata ayrıntılarının çoğunu kullanıcıların büyük kısmı güncellenene kadar kısıtlı tutuyor. Hata ödül programı kayıtlarına göre bu açıkların bir bölümü dış araştırmacılar tarafından bildirildi.

Aktif sömürü kanıtı yok

Google’ın açıklamasında bu açıkların aktif olarak kötüye kullanıldığına dair bir bilgi yer almıyor. Yine de tarayıcı güncellemelerinde bu durum her zaman garanti değil: Chrome, sömürü tespit edildiğinde bunu genellikle bülten metninde ayrıca belirtiyor. Hata ayrıntılarının kapalı olması da açıkların teorik kaldığı anlamına gelmiyor, yalnızca saldırganların işini zorlaştırmak için bilgi saklanıyor.

Güncellemeyi nasıl uygularsınız

Chrome’da güncelleme arka planda iniyor ama yeni sürüm ancak tarayıcı yeniden başlatıldığında devreye giriyor. Yani indirme tamamlandı diye açıkların kapandığını düşünmemek gerekiyor. Adres çubuğuna chrome://settings/help yazarak hem sürüm numarasını görebilir hem de varsa güncellemeyi elle başlatabilirsiniz. Sürüm 156.0.8078.79 ya da üzerindeyse tarayıcı güncel demektir; değilse güncelleme bittikten sonra Chrome’u kapatıp yeniden açın.

Aynı sürüm Extended Stable kanalını da kapsıyor, kurumsal ortamlarda bu kanalı kullanan makinelerin de güncellenmesi gerekiyor. Linux dağıtımlarında Chrome paket yöneticisiyle güncelleniyor; dağıtımın kendi deposundan gelen sürümün 156.0.8078.79 olduğunu doğrulamak yeterli.

Tarayıcı, gün içinde en çok kullanılan ve en çok saldırılan yazılım olduğu için bu tür toplu düzeltmeleri ertelememek gerekiyor. Güncellemeyi yükledikten sonra tarayıcıyı bir kez tamamen kapatıp açmak, açıkların gerçekten kapatıldığı anlamına geliyor.

Kaynak: Chrome Releases · NVD