هشدار گوگل به 3.5 میلیارد کاربر کروم: دو آسیب‌پذیری «روز صفر» فعال شناسایی شد

هشدار آسیب‌پذیری گوگل برای مرورگر کروم

شرکت گوگل اعلام کرده است که از نسخه Chrome 153، به‌روزرسانی‌های پایدار کروم هر دو هفته یک‌بار منتشر خواهند شد تا سرعت انتشار وصله‌های امنیتی دو برابر شود. به‌روزرسانی اخیر در تاریخ 10 مارس شامل رفع 29 آسیب‌پذیری بود و به‌روزرسانی پیشین نیز در 3 مارس منتشر شده بود.

اکنون، گوگل یک به‌روزرسانی اضطراری برای پوشش آسیب‌پذیری‌های CVE-2026-3909 و CVE-2026-3910 ارائه کرده است. هر دو این موارد از نوع «روز صفر» هستند؛ به این معنی که هکرها قبل از انتشار وصله و حتی پیش از اطلاع گوگل از وجود این آسیب‌پذیری‌ها، از آن‌ها مطلع بوده و در حال سوءاستفاده هستند.

مهاجمان در حال سوءاستفاده از یک باگ جدید

گوگل اعلام کرده که دسترسی کامل به جزئیات فنی این آسیب‌پذیری‌های روز صفر تا زمانی که اکثریت کاربران وصله امنیتی را دریافت کنند، محدود خواهد ماند. با این حال، اطلاعات منتشر شده تصویر اولیه‌ای از وضعیت را ارائه می‌دهد:

• هر دو آسیب‌پذیری شدید هستند و بخش‌های کلیدی زیرساخت کروم را هدف قرار می‌دهند.
• برخلاف اکثر آسیب‌پذیری‌های روز صفر که توسط محققان امنیتی خارجی کشف می‌شوند، این دو مورد توسط خود گوگل شناسایی شده‌اند.

آسیب‌پذیری CVE-2026-3909 نوعی آسیب «خارج از محدوده حافظه» است که معمولاً امکان اجرای کد از راه دور را فراهم می‌کند. این مشکل در کتابخانه گرافیکی Skia کروم قرار دارد که هم برای رندر کردن رابط کاربری و هم محتوای وب استفاده می‌شود. سوءاستفاده از آن می‌تواند تنها با بازدید کاربر از یک وب‌سایت مخرب رخ دهد و مشابه آسیب‌پذیری CVE-2026-3913 است که در 12 مارس هشدار داده شد.

آسیب‌پذیری CVE-2026-3910 در موتور جاوا اسکریپت کروم قرار دارد که یکی از بخش‌های حیاتی مرورگر و همواره مورد توجه هکرهاست. این نقص ناشی از پیاده‌سازی نادرست است و مهاجم می‌تواند با بازدید کاربر از یک صفحه HTML مخرب، کد دلخواه خود را در محیط سندباکس اجرا کند.

پاداش گوگل به محققان امنیتی

با وجود اینکه دو آسیب‌پذیری «روز صفر» جدید توسط خود گوگل کشف شده‌اند، برنامه «Vulnerability Reward Program» یا VRP گوگل که به محققان امنیتی پاداش نقدی می‌دهد، سال گذشته 15 ساله شد. در طول این مدت، بیش از 81 میلیون دلار به محققان اهدا شده و تنها در سال 2025، بیش از 17 میلیون دلار پرداخت شده است.

بزرگترین جایزه سال 2025 به دو محقق تعلق گرفت که توانستند باگ‌های منطقی در مکانیسم‌های ارتباط بین‌فرآیندی کروم را شناسایی کرده و نحوه بهره‌برداری از آن‌ها را نشان دهند. در مجموع، بیش از 100 محقق امنیتی برای آسیب‌پذیری‌های کروم بیش از 3.7 میلیون دلار دریافت کردند.

این برنامه تنها به کروم محدود نیست، اما گوگل برنامه‌ای ویژه برای مرورگر کروم و همچنین جوایز مرتبط با هوش مصنوعی دارد. محققان برتر کروم روی تمام بخش‌ها از امنیت حافظه و fuzzing تا مشکلات رابط کاربری کار کردند. تاکنون برنامه VRP مرتبط با هوش مصنوعی 350,000 دلار پرداخت کرده است.

اگر فکر می‌کنید کروم به دلیل تعداد آسیب‌پذیری‌ها ناامن است، باید بگویم کاملاً برعکس است. کشف زودهنگام باگ‌ها توسط محققان داخلی و خارجی، باعث شده کروم امن‌تر از بسیاری مرورگرها باشد. هدف گوگل این است که همیشه پیشرو تهدیدات نوظهور باشد، فناوری‌های جدید را دنبال کند و امنیت محصولات خود را تقویت کند و این تنها با همکاری جامعه امنیتی ممکن است.

کاربران گوگل کروم چه اقداماتی باید انجام دهند؟

با وجود اینکه گوگل به‌روزرسانی امنیتی را برای همه کاربران آغاز کرده، اما اوضاع کمی پیچیده‌تر از تصور شماست:

• انتشار به‌روزرسانی به صورت مرحله‌ای در روزها یا هفته‌های آینده انجام می‌شود؛ بنابراین، ممکن است هنوز برای همه کاربران در دسترس نباشد.
• پس از دریافت به‌روزرسانی، حتماً مرورگر خود را ری‌استارت کنید تا وصله امنیتی فعال شود.

به‌عبارت دیگر، مهم است که بعد از رسیدن آپدیت، کروم را ببندید و دوباره باز کنید تا در برابر حملات ناشی از «روز صفر» محافظت شوید. این آسیب‌پذیری‌ها را نباید دست کم بگیرید و بهترین کار در حال حاضر این است که مرورگر کروم خود را بررسی و به‌روزرسانی کنید. برای انجام این کار مراحل زیر را طی کنید:

1. روی منوی سه‌نقطه در بالای کروم کلیک کنید.
2. مسیر Help → About Google Chrome را انتخاب کنید.
3. مرورگر بررسی می‌کند که آیا آخرین نسخه موجود است یا خیر (برای ویندوز/مک: 146.0.7680.75/76 و برای لینوکس: 146.0.7680.75).
4. اگر آپدیت امنیتی نصب نشده باشد، به صورت خودکار دانلود و نصب خواهد شد.