Валентин Шнайдер Гаряченьке 16 липня 2025, 16:13

Google випустила термінове оновлення Chrome через критичну уразливість CVE-2025-6558

Вразливість у графічному модулі браузера вже активно експлуатується в реальних атаках, попереджають у Google.

Компанія Google 15 липня випустила оновлення безпеки для браузера Chrome, що закриває одразу шість вразливостей, одна з яких уже використовується хакерами в активних атаках. Про це повідомляє The Hacker News.

Ідеться про вразливість з ідентифікатором CVE-2025-6558 (CVSS 8.8), яка пов’язана з недостатньою перевіркою недовірених даних у компонентах ANGLE та GPU. За даними Національної бази вразливостей США (NVD), через спеціально сформовану HTML-сторінку зловмисник може ініціювати вихід за межі пісочниці Chrome, отримавши доступ до системного рівня ОС.

ANGLE (Almost Native Graphics Layer Engine) виконує роль проміжного шару між рушієм браузера та графічними драйверами пристрою. Вразливості в цій підсистемі — рідкісні, але потенційно надзвичайно небезпечні, оскільки дають змогу обійти ізоляційні механізми, що є критичним у контексті таргетованих атак.

За інформацією Google, експлойт уже циркулює в дикій природі. Вразливість виявили дослідники з Threat Analysis Group, а саме Клеман Лесіньє та Владислав Столяров. Її було зареєстровано ще 23 червня 2025 року, однак деталі експлуатації компанія поки не розголошує. Водночас, з огляду на специфіку виявлення, фахівці припускають залучення державних хакерських структур.

Google радить терміново оновити браузер до версії 138.0.7204.157/158 для Windows і macOS або 138.0.7204.157 для Linux. Перевірити версію можна в меню Довідка > Про Google Chrome. Оновлення також рекомендовані користувачам інших браузерів на Chromium — Edge, Brave, Opera, Vivaldi.

Це вже п’ята zero-day вразливість у Chrome з початку 2025 року. Серед попередніх CVE-2025-2783, CVE-2025-4664, CVE-2025-5419 і нещодавня CVE-2025-6554, також знайдена TAG.

Уразливості, пов’язані з GPU, WebGL та обробкою шейдерів, не завжди потрапляють у заголовки, проте часто стають частинами ланцюгових атак або використовуються в експлойтах наступного покоління. Фахівці з безпеки радять особливо стежити за патчами до графічних модулів браузера, оскільки саме там дедалі частіше з’являються нові вектори зламу.

Раніше ми писали про те, як Google випустила термінове оновлення для Chrome через нову вразливість, яку вже використовували хакери. Компанія усунула четверту вразливість нульового дня у 2025 році. Цього разу мова про небезпечну помилку типу Type Confusion у JavaScript-движку V8.