גוגל תיקנה ב-Chrome חולשה ברכיב Skia, ספריית הגרפיקה שמציירת בפועל את מה שרואים על המסך. עמוד HTML בנוי במיוחד גורם לרכיב לכתוב מחוץ לשטח הזיכרון שהוקצה לו, והחולשה קיבלה 8.8 מתוך 10. היא נוספה לקטלוג החולשות המנוצלות ב-13 במרץ 2026, אותו יום שבו התפרסמה הרשומה.

מה החולשה?

כשתוכנה שומרת נתונים בזיכרון היא מקבלת שטח בגודל מוגדר. אם היא כותבת יותר ממה שנכנס, או כותבת במקום שמחוץ לתחום שקיבלה, היא דורסת מה שיושב שם. הנתונים שנדרסים אינם אקראיים מבחינת התוקף: הוא בוחר מה לכתוב ולאן, ובזה מתחילה השליטה. קוראים לזה כתיבה מחוץ לגבולות, out of bounds write.

Skia הוא הרכיב שמבצע את הציור בפועל, וזה גם מה שמסביר למה עמוד אינטרנט מספיק כדי להגיע אליו. כל דף שנטען עובר דרכו, והתוכן שמעצב את הציור מגיע מהאתר.

גוגל מסווגת את חומרת הבאג בצד שלה כגבוהה. הווקטור מוסיף שהתקיפה מגיעה מהרשת, שהמורכבות נמוכה, שלא נדרשות הרשאות, ושכן נדרשת פעולה של המשתמש. הפעולה הזאת היא בסך הכול כניסה לעמוד.

ושווה לומר מה הרשומה לא מפרטת. היא מתארת גישה לזיכרון מחוץ לתחום, אך אינה מתארת מה נעשה בה הלאה. גוגל בדרך כלל מחזיקה את הפרטים סגורים עד שרוב המשתמשים כבר עודכנו, וזאת מדיניות ולא השמטה.

מי מושפע?

כאן יש אי דיוק שכדאי להכיר. תיאור הרשומה מציין את הגרסה 146.0.7680.75, ואילו רשימת הגרסאות המושפעות באותה רשומה מציינת כל דבר שקודם ל-146.0.7680.80. השורה התחתונה המעשית אינה משתנה: הגרסה שאליה צריך להגיע היא זו שהדפדפן מוריד לבדו כשמפעילים בדיקת עדכונים.

בישראל Chrome הוא הדפדפן הנפוץ ביותר, ולכן מדובר בפועל ברוב הגולשים. Skia הוא רכיב של Chromium, כלומר הבסיס שעליו בנויים גם Edge, Brave ו-Opera, אך כל אחד מהם מוציא גרסה מתוקנת בקצב שלו ועם מספור משלו.

האם מנוצלת בפועל?

כן. סוכנות הסייבר האמריקאית CISA מחזיקה קטלוג בשם KEV לחולשות שיש עליהן ראיה לניצול בשטח, והחולשה הזאת נכנסה אליו ב-13 במרץ 2026. המועד שנקבע לגופים הפדרליים לסגור אותה היה 27 במרץ 2026.

יום הפרסום ויום הכניסה לקטלוג הם אותו יום. זה קורה כשהניצול קדם לפרסום, ולא להפך.

מה עושים?

הדרך המהירה לבדוק היא להקליד בשורת הכתובת chrome://settings/help ולהקיש אנטר. העמוד שנפתח מציג את מספר הגרסה, ובאותה נשימה גם מתחיל לבדוק אם יש עדכון ומוריד אותו.

השוו את המספר שמופיע שם ל-146.0.7680.80. מספר נמוך יותר אומר שהתיקון עוד לא אצלכם.

בסוף התהליך יופיע כפתור הפעלה מחדש, וזה השלב שבו התיקון נכנס לתוקף בפועל. דפדפן שהוריד עדכון ולא נסגר ממשיך להריץ את הקוד הישן, ולכן שווה לסגור ולפתוח גם אם זה אומר לאבד סידור לשוניות. פרטי הגרסה נמצאים בהודעת Chrome.

מי שעובד בדפדפן אחר המבוסס על Chromium צריך לבדוק אותו בנפרד. מספר הגרסה שם שונה, והתאריך שבו העדכון הגיע שונה גם הוא.