Обновление ChromeOS LTS закрывает опасную уязвимость Use after free в CSS

Четвертого марта две тысячи двадцать шестого года, Google представила новый LTS релиз ChromeOS 138.0.7204.305 с платформенной версией 16295.90.0. Это обновление сразу привлекло внимание администраторов, потому что оно включает высокоприоритетный патч для уязвимости, которая активно эксплуатировалась в реальных атаках. Многие организации уже давно используют Chromebook как надежные тонкие клиенты, и теперь они получают дополнительный уровень защиты без лишних хлопот. Обновление синхронизировано с общим циклом патчей для Chrome 146 и распространяется постепенно на большинство устройств. Специалисты отмечают, как быстро патч закрывает дыру и возвращает уверенность в безопасности повседневной работы.

Выход нового LTS релиза для большинства устройств

Новый релиз LTS-138 доступен для почти всех моделей ChromeOS и ChromeOS Flex. Он охватывает как потребительские устройства, так и корпоративные системы, где стабильность стоит на первом месте. Роллаут происходит в фоновом режиме, чтобы пользователи не заметили перерыва в работе. Платформенная версия 16295.90.0 объединяет выбранные исправления безопасности из стабильного канала и добавляет их в долгосрочную поддержку. Это значит, что даже те, кто предпочитает медленный цикл обновлений, теперь защищены от свежих угроз. Многие уже заметили, как обновление приходит автоматически и не требует ручного вмешательства на большинстве машин. Такой подход идеально подходит для школ, офисов и удаленных команд, где каждый Chromebook должен работать без сбоев.

Подробности критической уязвимости CVE-2026-2441

Уязвимость CVE-2026-2441 относится к классу Use after free и живет в компоненте CSS движка Blink. Злоумышленник создавал специально сформированную HTML страницу с хитрым CSS правилом, которое заставляло браузер освобождать память для элемента, а потом обращаться к ней снова. В результате память переиспользовалась под другие данные, и атакующий получал шанс выполнить произвольный код внутри песочницы. Проблема имела высокую оценку серьезности и эксплуатировалась в дикой природе еще до официального патча. Технически ошибка возникала при обработке CSSFontFeaturesValueMap, когда ссылка на HashMap оставалась активной после удаления объекта. Это позволяло обходить защитные механизмы и потенциально компрометировать данные даже без установки вредоносного ПО. Без обновления любой просмотр подозрительной страницы мог привести к неприятным последствиям, особенно в корпоративных сетях.

Технические детали исправлений в релизе

Патч для CVE-2026-2441 меняет способ работы с памятью в CSS парсере. Теперь вместо простого указателя используется глубокое копирование структуры, что полностью исключает повторное использование освобожденного блока. Вместе с этим релиз исправляет еще несколько важных проблем, включая CVE-2026-2649 с переполнением целого числа в V8 и CVE-2026-0902 с некорректной реализацией в том же движке. Дополнительно закрыта средняя уязвимость CVE-2026-0904, связанная с отображением интерфейса безопасности в Digital Credentials. Все изменения прошли тщательное тестирование и не повлияли на скорость рендеринга веб страниц. Разработчики также усилили общую изоляцию процессов, что делает браузер еще устойчивее к подобным атакам в будущем. Пользователи заметят только повышенную стабильность, а администраторы получат спокойствие за всю инфраструктуру.

Простые шаги по установке обновления

Проверить наличие обновления очень легко. Достаточно зайти в настройки устройства, выбрать раздел О системе и посмотреть текущую версию ChromeOS. Если там отображается 138.0.7204.305 или выше, то патч уже установлен. Для принудительного обновления можно использовать кнопку Проверить обновления или применить политику через Google Workspace. В крупных сетях администраторы часто используют Chrome Enterprise Updater, чтобы развернуть релиз сразу на всех машинах. После установки рекомендуется перезапустить браузер или полностью перезагрузить устройство. Такой процесс занимает всего несколько минут, но дает долгосрочную защиту. Если устройство работает в режиме гостя или kiosk, то обновление тоже применяется автоматически при следующем подключении к сети.

Вот ключевые исправления в этом релизе:

• CVE-2026-2441 Use after free в CSS, высокая серьезность;
• CVE-2026-2649 Integer overflow в V8, высокая серьезность;
• CVE-2026-0904 Incorrect security UI в Digital Credentials, средняя серьезность;
• CVE-2026-0902 Inappropriate implementation в V8, средняя серьезность.

Влияние патча на повседневную безопасность Chromebook

Обновление меняет подход к защите в тех средах, где Chromebook используются как основные рабочие инструменты. Теперь даже при посещении неизвестных сайтов риск минимален, потому что критическая дыра закрыта на уровне ядра браузера. В образовательных учреждениях и компаниях с удаленными сотрудниками это особенно ценно, ведь один компрометированный ноутбук мог потянуть за собой целую сеть. Администраторы отмечают снижение нагрузки на службу поддержки, а пользователи просто продолжают работать без лишних предупреждений. Патч напоминает, как важно вовремя обновлять даже проверенные устройства, и показывает, что Google держит руку на пульсе реальных угроз. Дальше остается только следить за следующими релизами и наслаждаться тем, как ChromeOS остается одной из самых безопасных платформ на рынке. Каждый, кто применит обновление, почувствует спокойствие, которое приходит, когда знаешь, что базовая защита на высоте, а рабочий день проходит без неожиданных сюрпризов.