Google ने zero-day हमलों में एक्सप्लॉइट किए गए एक नए Chrome भेद्यता को पैच करने के लिए आपातकालीन सुरक्षा अपडेट जारी किए हैं, जो इस वर्ष की शुरुआत से ऐसी आठवीं खामी है।
"Google को पता है कि CVE-2026-125350 के लिए एक exploit wild में मौजूद है," कंपनी ने सोमवार को जारी सुरक्षा एडवाइजरी में कहा।
यह खामी Google Chrome वेब ब्राउज़र के XML कंपोनेंट में एक high-severity use-after-free कमजोरी है। यह तब होता है जब ब्राउज़र का XML पार्सर डेटा को प्रोसेस करता है, कंप्यूटर की मेमोरी से एक ऑब्जेक्ट को हटा देता है, लेकिन उस ऑब्जेक्ट को संदर्भित करने वाले पॉइंटर को साफ़ करने में विफल रहता है। हमलावर इस मेमोरी करप्शन भेद्यता का फायदा तब उठा सकते हैं जब ब्राउज़र बाद में मेमोरी लेआउट को मैनिपुलेट करने और दुर्भावनापूर्ण कोड चलाने के लिए उस मुक्त (freed) मेमोरी स्पेस का उपयोग करने या पढ़ने का प्रयास करता है।
एक अज्ञात रिसर्चर ने 6 नवंबर को Google को इस समस्या की रिपोर्ट दी। Google ने इस भेद्यता का फायदा उठाने वाले हमलों के बारे में अतिरिक्त विवरण साझा नहीं किए हैं।
"Bug के विवरण और लिंक तक पहुंच को तब तक प्रतिबंधित रखा जा सकता है जब तक कि अधिकांश उपयोगकर्ता फिक्स के साथ अपडेट न हो जाएं। हम प्रतिबंध बनाए रखेंगे यदि बग किसी तीसरे पक्ष की लाइब्रेरी में मौजूद है जिस पर अन्य प्रोजेक्ट भी इसी तरह निर्भर हैं, लेकिन उन्होंने अभी तक इसे ठीक नहीं किया है," Google ने नोट किया।
पैच Chrome 157 अपडेट में शामिल हैं, विशेष रूप से Windows और Mac के लिए संस्करण 157.0.8103.50/.51, और Linux के लिए 157.0.8103.50। Google का कहना है कि सुरक्षा अपडेट को सभी Chrome उपयोगकर्ताओं तक पहुँचने में दिनों या हफ्तों का समय लग सकता है।
इस वर्ष की शुरुआत से, Google ने सात अन्य actively exploited zero-day भेद्यताओं को संबोधित किया है:
- CVE-2026-2441, CSSFontFeatureValuesMap में एक iterator invalidation बग, जिसे फरवरी के मध्य में संबोधित किया गया
- CVE-2026-3909, Skia 2D graphics library में एक out-of-bounds write कमजोरी, जिसे मार्च में पैच किया गया
- CVE-2026-3910, V8 JavaScript और WebAssembly इंजन में एक inappropriate implementation भेद्यता, जिसे मार्च में पैच किया गया
- CVE-2026-5281, Dawn में एक use-after-free कमजोरी, जिसे अप्रैल में पैच किया गया
- CVE-2026-11645, Chrome के V8 JavaScript इंजन में एक out-of-bounds read और write भेद्यता, जिसे जून में पैच किया गया
- CVE-2026-85046, V8 JavaScript इंजन में एक type confusion खामी, जिसे सितंबर में ठीक किया गया
- CVE-2026-87491, V8 JavaScript इंजन में एक out-of-bounds write खामी, जिसे सितंबर में ठीक किया गया