أصدرت Google في 9 نوفمبر 2026 تحديثاً أمنياً لمتصفح Chrome على القناة المستقرة لأنظمة Windows وMac وLinux يعالج تسع ثغرات، وأشارت في نشرتها الرسمية للإصدار إلى وجود استغلال للثغرة CVE-2026-125350 على أرض الواقع.
وتصنف Google الثغرة، وهي خلل استخدام بعد التحرير (use after free) في مكون XML، بدرجة High. وتذكر النشرة أن باحثاً مجهولاً أبلغ عنها في 6 نوفمبر، أي قبل ثلاثة أيام من صدور التحديث. ولم تذكر الشركة من يستغل الثغرة ولا عدد المستهدفين ولا نوع الأثر المترتب عليها، ولم تنشر تقييماً بمعيار CVSS.
والإصدار المصلح هو 157.0.8103.50 على الأنظمة الثلاثة، و157.0.8103.51 أيضاً على Windows وMac، ويصل إلى المستخدمين تدريجياً خلال أيام أو أسابيع بحسب النشرة. ولم تذكر Google حلاً مؤقتاً، ولم تحدد الإصدارات المتأثرة.
أبرز أخبار الأمن السيبراني في السعودية والعالم، كل أسبوع في بريدك.
وأصدرت Google للقناة الموسعة Extended Stable الإصدار 156.0.8078.96 على Windows وMac، ويضم 11 إصلاحاً أمنياً، منها CVE-2026-125350 وCVE-2026-125346 وCVE-2026-125345 وCVE-2026-125347.
ويضم التحديث تسعة إصلاحات أمنية: سبعة بتصنيف High واثنان بتصنيف Medium، ولا شيء بتصنيف Critical. وإلى جانب CVE-2026-125350، تعالج النشرة ثغرة ثانية من النوع نفسه في XML هي CVE-2026-125346، أبلغ عنها Arni Hardarson من Neonix Security في 12 أكتوبر، إضافة إلى خلل في تحويل الأنواع (type confusion) في محرك V8، وكتابة خارج حدود الذاكرة في GPU، وخلل في التحقق من الصلاحيات (incorrect authorization) في FileSystem، وفيضان في المخزن المؤقت في Compositing، وثغرتين بتصنيف High وMedium من نوع المورد غير المهيأ في WebGL وGPU، وثغرة Medium أخرى في GPU أبلغ عنها Vo Duc Thang.
وأبلغت Google نفسها عن ست من الثغرات التسع، وعن اثنتين باحثان هما Arni Hardarson وVo Duc Thang، أما التاسعة فهي ثغرة الباحث المجهول المستغلة. وتقول Google إن الوصول إلى تفاصيل الأخطاء وروابطها قد يبقى مقيداً حتى يحصل أغلب المستخدمين على التحديث، وإن القيود تستمر أيضاً إذا كان الخلل في مكتبة طرف ثالث تعتمد عليها مشاريع أخرى لم تصلحها بعد.
وبحسب صفحة الأمن في Chromium، تصبح الأخطاء الأمنية المصلحة مرئية علناً بعد 14 أسبوعاً من إصلاحها، ويقتصر الإشعار المسبق على من يبنون منتجات مبنية على Chromium ويستخدمها عدد كبير من الناس.
ولم يتم إدراج الثغرة حتى إصدار 9 نوفمبر 2026 في فهرس الثغرات المستغلة فعلياً لدى CISA، كما لم يكن لها سجل منشور في قاعدة CVE ولا في NVD وقت كتابة هذا الخبر، والمعرف مأخوذ من نشرة Google.
