Google Chrome a primit o actualizare de securitate importantă pentru versiunea stabilă pentru a repara șase vulnerabilități, din care un zero day (CVE-2025-6558) ce a fost exploatat în atacuri.
Cea mai recentă versiune a browserului este 138.0.7204.157/.158 pentru Windows și Mac, și 138.0.7204.157 pentru Linux și este distribuită treptat, pe parcursul următoarelor zile sau săptămâni.
Pentru una din cele șase corecții de securitate atacatorii au creat un exploit pe care l-au folosit in atacuri. Google nu a publicat detalii despre ținta/țintele vizate și nici informații tehnice care sa permită reproducerea exploit-ului.
Vulnerabilitate este identificată ca CVE-2025-6558 și este descrisă ca o validare insuficientă a inputului în componenta Almost Native Graphics Layer Engine (ANGLE) și în placa GPU pentru accelerarea grafică.
Un atacator de la distanță poate exploata problema de securitate prin folosirea unei pagini HTML special create pentru a permite trecerea de barierele de izolare din browser (sandbox) și a ajunge pe sistemul de operare.
Accesul la detaliile specifice ale erorilor și la link-uri poate fi restricționat temporar, până când majoritatea utilizatorilor au instalat versiunea actualizată a browserului Google Chrome, menționează buletinul de securitate.
Restricțiile pot fi menținute și dacă vulnerabilitatea există într-o bibliotecă terță de care depind și alte proiecte care încă nu au fost remediate.
Trei din cele șase vulnerabilități au fost raportate de cercetători din afara echipei de dezvoltare a Google Chrome, unii dintre ei primind și o recompensă:
- CVE-2025-7656: vulnerabilitate cu nivel de severitate ridicat (integer overflow în V8), raportată de Shaheen Fazim la 17 iunie – recompensă $7.000
- CVE-2025-6558: vulnerabilitate cu nivel de severitate ridicat (validare incorectă a intrărilor nesigure în ANGLE și GPU), raportată pe 23 iunie de Clément Lecigne și Vlad Stolyarov de la Google Threat Analysis Group – fără recompensă
- CVE-2025-7657: vulnerabilitate cu nivel de severitate ridicat (use-after-free în WebRTC), raportată de jakebiles la 25 iunie – recompensa încă nu a fost anunțată
Vulnerabilitatea CVE-2025-6558 este al cincilea zero day exploatat în atacuri și reparat în Google Chrome.
Utilizatorii primesc automat actualizările pentru Google Chrome și pot verifica versiunea instalată tastând in bara de adrese chrome://settings/help sau accesând meniul Ajutor>Despre Google Chrome.
Pentru terminarea cu succes a procesului de actualizare, utilizatorii trebuie să relanseze browserul. Acțiunea de relansare nu duce la pierderea sesiunilor active, indiferent dacă au fost deschise în ferestre diferite.
