Chrome 153 סוגרת פרצת יום-אפס מנוצלת, ו-Google עוברת לגרסה חדשה כל שבועיים

Google הפיצה ב-8 בספטמבר 2026 את Chrome 153. הגרסה כוללת תיקון לפרצת יום-אפס במנוע ה-JavaScript של הדפדפן. לפי החברה, תוקפים כבר מנצלים את הפרצה בתקיפות. זו גם הגרסה הראשונה במחזור שחרור חדש. מגרסה זו ואילך Chrome תקבל גרסה ראשית כל שבועיים, במקום כל ארבעה שבועות.

CVE-2026-87491 ב-Chrome 153: מספיק להיכנס לדף הלא נכון

החולשה, CVE-2026-87491, היא כתיבה מחוץ לגבולות הזיכרון (out-of-bounds write) ב-V8, המנוע שמריץ JavaScript ו-WebAssembly ב-Chrome. לפי BleepingComputer, תוקף יכול לנצל אותה באמצעות דף HTML שנבנה במיוחד. כך הוא יכול להריץ קוד בתוך ארגז החול (sandbox) של הדפדפן. במילים פשוטות: מספיק להיכנס לאתר זדוני, או לאתר לגיטימי שנפרץ, בלי להוריד שום דבר.

הרצת קוד בתוך ה-sandbox עדיין לא נותנת שליטה מלאה במחשב. אבל תוקפים נוהגים לשלב חולשה כזאת עם חולשה שנייה שמאפשרת לברוח ממנו. Google אישרה שקיים ניצול בשטח ולא פרסמה פרטים נוספים, כמנהגה. פרטי הבאג נשארים חסויים עד שרוב המשתמשים מתעדכנים.

החולשה דווחה על ידי Jihyeon Jeong, מתמחה במעבדת Compsec של אוניברסיטת סיאול הלאומית. הגרסאות המתוקנות הן 153.0.8010.36 ל-Windows ול-Linux ו-153.0.8010.37 ל-Mac. לפי BleepingComputer, העדכון כולל 230 תיקוני אבטחה בסך הכול. האתר מונה אותה כפרצת היום-אפס השביעית ש-Google מתקנת ב-Chrome מתחילת 2026. אחת הקודמות, CVE-2026-85046, הייתה גם היא ב-V8 ותוקנה בתחילת ספטמבר.

למה Chrome 153 מקצרת את המחזור לשבועיים

ההסבר של Google, שפורסם ביולי בבלוג שלה, קשור ישירות ל-AI. מודלי שפה מאפשרים לאתר חולשות באופן אוטומטי ובהיקף שבני אדם לא מסוגלים לו. התוצאה היא הצפה של דיווחים ותיקונים. לפי Google, Chrome 149 ו-150 יחד תיקנו 1,072 באגי אבטחה. המספר הזה עולה על כל 23 הגרסאות שקדמו להן גם יחד. תוכנית הבאונטי של Chrome קיבלה עד מרץ 2026 מספר דיווחים שעולה על כל 2025.

הבעיה היא מה ש-Google מכנה פער התיקון (patch gap). זה הזמן שעובר מהרגע שתיקון נכנס לקוד הפתוח של Chromium ועד שהוא מגיע למשתמשים. בקוד הפתוח, תוקפים יכולים לראות את התיקון. בחלון הזה תוקפים מנצלים חולשות שכבר ידועות, מה שמכונה N-day. מחזור קצר מקטין את החלון. במקביל, לפי Google, ימשיכו לצאת עדכוני אבטחה שבועיים, והיא בוחנת גם שני עדכוני אבטחה בשבוע.

ב-2021 Chrome קיצרה את המחזור משישה שבועות לארבעה. לפי TechCrunch, Mozilla, Microsoft ו-Brave כבר עברו לקצב של שבועיים בדפדפנים שלהן. כלומר, Chrome מצטרפת למגמה ולא מובילה אותה.

העדכון נכנס לתוקף רק אחרי הפעלה מחדש

Chrome מורידה עדכונים לבד, אבל מחילה אותם רק כשסוגרים את הדפדפן ופותחים אותו מחדש. מי שמשאיר את Chrome פתוח שבועות עם עשרות לשוניות עלול להמשיך לגלוש עם גרסה פגיעה. זה מצב שכיח, והחשיפה נמשכת הרבה אחרי שהתיקון יצא. Google עצמה מציינת שזו אחת הסיבות המרכזיות לעיכוב.

ב-Chrome 150 ל-Mac הדפדפן כבר מפעיל את עצמו מחדש אוטומטית. זה קורה כשיש עדכון ממתין ואין חלונות פתוחים. החברה עובדת גם על מנגנון שיחליף רכיבים בלי הפעלה מחדש מלאה.

עוד ב-GEEKLIK: Patch Tuesday של ספטמבר: Microsoft תיקנה כמעט אלף חולשות, שתיים כבר נוצלו

מה הלאה

המעבר לשבועיים הוא חלק מתמונה רחבה. כלי AI מוצאים באגים מהר, והיצרנים נאלצים לשחרר תיקונים מהר. בפועל, ההגנה הטובה ביותר של משתמש רגיל נשארת פשוטה. כדאי לאפשר לדפדפן להתעדכן, ולא לדחות את ההפעלה מחדש.