Google Chrome’da Saldırılarda Kullanılan Yeni Zero-Day Açığı Kapatıldı

Google, Chrome için yayınladığı güvenlik güncellemesiyle aktif saldırılarda kullanılan yeni bir Chrome zero-day açığı dahil olmak üzere 230 güvenlik sorununu giderdi. CVE-2026-87491 kodlu açık, Chrome’un V8 JavaScript ve WebAssembly motorundaki bellek sınırları dışına yazma hatasından kaynaklanırken saldırganların hazırlanan HTML içerikleri üzerinden tarayıcıda kod çalıştırmasına yol açabiliyor. Google, açığın saldırılarda kullanıldığını doğrularken ayrıntıları kullanıcıların büyük bölümünün güncellemeyi almasının ardından paylaşacağını belirtti.

V8 Motorundaki Bellek Hatası Uzaktan Kod Çalıştırmaya Yol Açabiliyor

CVE-2026-87491, Chrome’un JavaScript ve WebAssembly kodlarını çalıştıran V8 motorundaki out-of-bounds write türündeki bir güvenlik hatasından kaynaklanıyor. Uzaktaki saldırganlar, özel olarak hazırlanmış HTML sayfalarını kullanarak tarayıcının güvenlik yalıtımı içindeki kod yürütme mekanizmalarından yararlanabiliyor. Bellek alanının sınırlarının aşılması, saldırganların ayrılmış tamponun dışındaki verilere erişmesine veya bellek yapısını bozmasına neden olarak hassas bilgilerin açığa çıkması ya da tarayıcının çökmesi gibi sonuçlar doğurabiliyor.

Google, güvenlik açığının gerçek saldırılarda kullanıldığını doğrulamasına rağmen saldırıların kimler tarafından gerçekleştirildiği veya hedeflerin hangi sistemlerden oluştuğu konusunda ayrıntı vermedi. Şirket, saldırı yöntemlerine ilişkin teknik bilgileri şimdilik sınırlı tutarak daha fazla kullanıcının güvenlik güncellemesini yüklemesini bekliyor.

Araştırmacı Jihyeon Jeong, Seoul National University bünyesindeki Compsec Lab’de yürüttüğü araştırma sırasında açığı Google’a bildirdi. Google, bildirimin ardından iki gün içinde Windows, macOS ve Linux için güncellenmiş Chrome sürümlerini Stable Desktop kanalında dağıtmaya başladı. Windows ve Linux kullanıcıları 153.0.8010.36 sürümüne, macOS kullanıcıları ise 153.0.8010.37 sürümüne geçebiliyor.

Chrome kullanıcıları, güncellemenin cihazlarına ulaşmasını beklemek zorunda kalmadan tarayıcının güncelleme bölümünden yeni sürümü kontrol edebiliyor. Google, dağıtımın dünya genelindeki tüm kullanıcılara ulaşmasının birkaç gün veya birkaç hafta sürebileceğini belirtirken Chrome otomatik güncelleme mekanizması sayesinde yeni sürümü bir sonraki tarayıcı açılışında kurabiliyor.

CVE-2026-87491, Google’ın 2026 yılında aktif saldırılarda kullanıldığı doğrulanan altıncı Chrome zero-day vakası oldu. Şirket daha önce CSSFontFeatureValuesMap bileşenindeki CVE-2026-2441 numaralı iterator invalidation hatasını, Skia grafik kütüphanesindeki CVE-2026-3909 kodlu bellek yazma açığını ve V8 motorundaki CVE-2026-3910 numaralı uygulama hatasını gidermişti.

Nisan ayında Chromium projesinin WebGPU standardı için kullandığı Dawn bileşenindeki use-after-free açığı CVE-2026-5281 koduyla kapatılırken Google eylül ayının başında V8 motorundaki type confusion türündeki CVE-2026-85046 açığını da düzeltti. Bu açıkların ortak noktası, saldırganların tarayıcının işlediği içerikleri güvenlik sınırlarını aşacak şekilde kullanabilmesi ve başarılı istismar durumunda kullanıcı verileriyle sistem kararlılığını riske atabilmesi oldu.

Google’ın 2025 yılında da gerçek saldırılarda kullanılan sekiz Chrome zero-day açığını kapatması, tarayıcıların saldırganlar için kritik hedeflerden biri olmaya devam ettiğini gösteriyor. Özellikle Google Threat Analysis Group gibi ekiplerin takip ettiği casus yazılım kampanyalarında sıfır gün açıklarının kullanılması, Chrome gibi yaygın tarayıcıların kurumsal güvenlik politikalarında neden öncelikli güncelleme grubunda tutulması gerektiğini ortaya koyuyor.

Şirket bilgisayarlarında Chrome kullanan yöneticilerin güncellemenin otomatik olarak kurulmasını beklemek yerine sürüm numarasını kontrol etmesi, saldırı yüzeyini azaltmak açısından daha güvenli bir yaklaşım oluşturuyor. Google’ın CVE-2026-87491 için teknik ayrıntıları şimdilik kısıtlaması da açığın kullanımına ilişkin yeni bilgilerin, daha geniş bir kullanıcı kitlesi koruma altına alındıktan sonra ortaya çıkabileceğine işaret ediyor.