Google, Chrome tarayıcısında aktif olarak istismar edildiğini kabul ettiği CVE-2026-125350 kodlu güvenlik açığını kapatmak için 9 Kasım’da güncelleme yayımladı. XML bileşenindeki bellek yönetimi hatası, yüksek önem derecesiyle sınıflandırıldı. Güncelleme, masaüstü platformlarında dokuz güvenlik düzeltmesi içeriyor.
CVE-2026-125350 için saldırıların kimleri hedef aldığı, saldırganların kullandığı yöntemler ve istismarın teknik ayrıntıları açıklanmadı. Google, güvenlik açığı ayrıntılarına erişimi, kullanıcıların büyük bölümü güncellenene kadar kısıtlayabileceğini bildirdi.
Aktif istismar edilen XML açığı ne anlama geliyor?
CVE-2026-125350, Chrome’un XML işleme bileşenindeki "kullanımdan sonra serbest bırakma" türünde bir bellek hatası olarak tanımlanıyor. Yazılımın serbest bırakılmış bir bellek alanına yeniden erişmeye çalışması, programın çökmesine, veri bozulmasına veya saldırı koşullarına bağlı olarak kod çalıştırılmasına imkân verebilir.
Google, açık için çalışan bir istismarın internette bulunduğunu doğruladı. Açığı 6 Kasım 2026’da ismi açıklanmayan bir araştırmacı bildirdi. Güvenlik açığının aktif istismar altında olması, kullanıcıların otomatik güncelleme sırasını beklemeden yüklü sürümü kontrol etmesini gerekli kılıyor.
Bir bilgisayar acil müdahale merkezi, açık nedeniyle yayımlanan uyarıyı çok yüksek risk düzeyinde değerlendirdi. Uyarıda hizmet engelleme, güvenlik kısıtlamalarını aşma ve uzaktan kod çalıştırma olasılıkları genel etkiler arasında sıralandı. Ancak Google, CVE-2026-125350 için saldırganların kesin olarak hangi sonucu elde ettiğini açıklamadı.
Hangi Chrome sürümleri güvenlik düzeltmesini içeriyor?
Windows ve macOS işletim sistemlerinde Chrome’un kararlı kanalında 157.0.8103.50 ve 157.0.8103.51 sürümleri güvenlik düzeltmesini içeriyor. Linux kullanıcılarının en az 157.0.8103.50 sürümüne yükseltmesi gerekiyor. Android için yayımlanan güvenli sürüm de 157.0.8103.50 olarak açıklandı.
Windows ve macOS cihazlarında Genişletilmiş Kararlı kanal kullanan kurumların 156.0.8078.96 sürümüne geçmesi isteniyor. Genişletilmiş Kararlı kanalın önceki 156.0.8078.88 sürümü CVE-2026-125350 düzeltmesini içermiyor.
Güncelleme dağıtımı tüm cihazlara aynı anda ulaşmayabilir. Masaüstü güncellemelerinin günler ve haftalar içinde yayılacağı belirtildi. Android cihazlarda dağıtım uygulama mağazası üzerinden kademeli gerçekleştiği için bazı telefonlarda güvenli sürüm henüz görünmeyebilir.
ChromeOS ve ChromeOS Flex için CVE-2026-125350 düzeltmesinin hangi sürümde yayımlandığı mevcut bilgilerde doğrulanmadı. Chromebook yöneticilerinin sonraki resmi ChromeOS güvenlik duyurularını takip etmesi gerekiyor. Edge, Brave, Opera ve Vivaldi gibi Chromium tabanlı tarayıcıların kullanıcıları da kendi tarayıcı üreticilerinin güncelleme duyurularını kontrol etmeli.
Chrome güncellemesi nasıl kontrol edilip yüklenir?
Windows, macOS ve Linux kullanıcıları Chrome menüsünden Yardım > Google Chrome Hakkında bölümünü açarak yüklü sürümü kontrol edebilir. Tarayıcı, erişilebilir güncellemeyi genellikle otomatik indirir. Güncelleme tamamlandıktan sonra "Yeniden başlat" seçeneğiyle Chrome’un kapatılıp açılması gerekiyor.
Tarayıcının yeniden başlatılmaması, indirilen güvenlik düzeltmesinin çalışan Chrome işlemlerine uygulanmamasına neden olabilir. Uzun süre açık kalan tarayıcılar ve kurumsal cihazlardaki sabitlenmiş sürümler için yeniden başlatma adımı özellikle önem taşıyor.
Android kullanıcıları Chrome içindeki Ayarlar > Chrome Hakkında bölümünden sürümü kontrol edebilir. Sürüm eskiyse uygulama mağazasındaki Uygulamaları ve cihazı yönet alanından Chrome güncellemesi aranabilir. Güncelleme listede yer almıyorsa dağıtımın cihaza ulaşması beklenmeli ve kontrol daha sonra tekrarlanmalı.
Kurumların güncelleme sonrasında doğrulaması gerekenler
Kurumsal bilgi işlem ekiplerinin yalnızca güncelleme komutu göndermesi yeterli olmayabilir. Ekiplerin, cihazların hedef sürüme yükseldiğini ve Chrome’un yeniden başlatıldığını doğrulaması gerekiyor. Kiosklar, sanal masaüstleri, yüklenici bilgisayarları ve bağlantısı sınırlı cihazlar güncelleme denetimine dahil edilmeli.
CVE-2026-125350 dışında aynı paket içinde ikinci bir XML bellek hatası, JavaScript motorundaki tür karmaşası, grafik işlemci bileşenindeki sınır dışı yazma ve görüntü birleştirme bileşenindeki arabellek taşması gibi açıklar da kapatıldı. İkinci XML açığı CVE-2026-125346 olarak kaydedildi; aktif istismar edildiği açıklanan kimlik yalnızca CVE-2026-125350 oldu.
Güvenlik açığına ilişkin yayımlanmış alan adı, IP adresi, dosya özeti veya saldırı tespit imzası bulunmuyor. Bu nedenle güncel sürümün kurulması ve tarayıcının yeniden başlatılması, mevcut bilgiler ışığında en doğrudan korunma yöntemi olarak öne çıkıyor.
Sıkça Sorulanlar
CVE-2026-125350 nedir?
CVE-2026-125350, Google Chrome’un XML bileşenindeki "kullanımdan sonra serbest bırakma" türünde bir bellek güvenlik açığıdır. Google, açık için internette çalışan bir istismar bulunduğunu açıkladı.
CVE-2026-125350 için hangi Chrome sürümleri güvenli?
Windows ve macOS’ta Chrome 157.0.8103.50 veya 157.0.8103.51, Linux ve Android’de Chrome 157.0.8103.50 sürümü düzeltmeyi içerir. Windows ve macOS Genişletilmiş Kararlı kanal kullanıcılarının 156.0.8078.96 sürümüne geçmesi gerekir.
Chrome güncellemesinden sonra yeniden başlatmak gerekir mi?
Evet. Güncelleme indirildikten sonra Chrome’un yeniden başlatılması, güvenlik düzeltmesini içeren yeni tarayıcı işlemlerinin çalışması için gereklidir.
CVE-2026-125350 saldırılarının hedefleri açıklandı mı?
Hayır. Google, saldırganların kimliği, hedeflenen kullanıcılar, saldırı yöntemi ve istismarın teknik ayrıntıları hakkında bilgi yayımlamadı.