Google выпустила экстренное обновление для браузера Chrome, устранив сразу шесть уязвимостей, одна из которых уже активно используется в реальных атаках. Проблема затрагивает критически важные компоненты, связанные с графическим движком браузера, и способна привести к выходу из песочницы — защитного механизма, изолирующего процессы Chrome от остальной системы.
Наиболее серьёзной из устранённых уязвимостей стала CVE-2025-6558 с оценкой по шкале CVSS в 8,8 балла. Она касается некорректной обработки недоверенных данных в компонентах ANGLE и GPU. ANGLE, или Almost Native Graphics Layer Engine, служит прослойкой между браузером и драйверами графического оборудования. Именно через неё вредоносная веб-страница может инициировать так называемый «побег из песочницы» и взаимодействовать с остальной системой на низком уровне.
Этот метод особенно опасен в случаях таргетированных атак — достаточно лишь открыть страницу, чтобы получить незаметное заражение без кликов и скачивания файлов. Разработчики из Google отметили, что эксплойт для этой уязвимости уже используется в реальных атаках, хотя их конкретные детали и цели не раскрываются. Обнаружение проблемы принадлежит специалистам из Threat Analysis Group — Клеману Лесиню и Владу Столярову, которые сообщили об уязвимости 23 июня 2025 года.
Тот факт, что уязвимость задействована в реальных атаках и найдена командой, занимающейся угрозами государственного уровня, указывает на возможное участие национальных киберструктур.
Обновление Chrome закрывает ещё пять уязвимостей, включая CVE-2025-6554, также обнаруженную Лесинем 25 июня. Это уже пятый за год случай, когда Google устраняет активно эксплуатируемые или продемонстрированные как proof-of-concept уязвимости. В список также входят CVE-2025-2783, CVE-2025-4664 и CVE-2025-5419.
Для защиты пользователей рекомендовано обновить Chrome до версии 138.0.7204.157 или 138.0.7204.158 для Windows и macOS, а также 138.0.7204.157 для Linux. Установка последней версии осуществляется через раздел «О браузере» в настройках. Владельцы браузеров на базе Chromium — таких как Edge, Brave, Opera и Vivaldi — также должны следить за выходом обновлений.
Уязвимости, связанные с графическими компонентами и механизмами изоляции процессов, не всегда становятся новостными поводами, но часто используются в цепочках атак. Особенно стоит обращать внимание на обходы границ привилегий, ошибки в GPU и WebGL, а также повреждения памяти в процессе рендера — именно эти области часто становятся основой для следующих критических уязвимостей.