باگ بحرانی اجرای کد از راه دور در گوگل کروم ۱۵۷ (CVE-2026-121126)؛ کدام نسخه‌ها آسیب‌پذیرند و چطور آپدیت کنیم
چه اتفاقی افتاده است
گوگل در تاریخ ۳ نوامبر ۲۰۲۶ (۱۲ آبان ۱۴۰۵) نسخه ۱۵۷ کروم را برای کانال Stable در ویندوز، مک و لینوکس منتشر کرد. این آپدیت ۲۱۳ مشکل امنیتی را رفع می‌کند که هفت مورد از آن‌ها از نظر گوگل در سطح بحرانی (Critical) قرار دارند.
از میان این موارد، چهار باگ به‌خصوص شناسه رسمی CVE گرفته‌اند و هر چهار مورد در پایگاه NVD با امتیاز CVSS 9.6 رتبه‌بندی شده‌اند:
- CVE-2026-121126 — مشکل Use-After-Free در کامپوننت Core
- CVE-2026-121035 — مشکل Use-After-Free در کامپوننت Prerender
- CVE-2026-121229 — مشکل حافظه در ANGLE (مخصوص اندروید)
- CVE-2026-121246 — مشکل حافظه در WebGL (مخصوص اندروید)
نقطه مشترک این چهار باگ این است که یک مهاجم می‌تواند با طراحی یک صفحه HTML آلوده و ترغیب قربانی به بازکردن آن، کد دلخواه خود را خارج از سندباکس کروم اجرا کند. یعنی صِرف بازکردن یک لینک یا صفحه وب، بدون هیچ دانلود یا کلیک اضافه‌ای، می‌تواند منجر به کنترل سیستم شود.
نکته مهم: طبق یادداشت رسمی گوگل و پوشش خبری منابعی مثل Malwarebytes، PCWorld و eSecurityPlanet، تا لحظه انتشار این مطلب هیچ‌کدام از این چهار باگ در حملات واقعی مشاهده نشده‌اند و در فهرست CISA KEV هم ثبت نشده‌اند. این یعنی خطر نظری بالاست، اما شواهدی از سوءاستفاده فعال در دنیای واقعی وجود ندارد.
این الگوی وصله سریع برای باگ‌های بحرانی اختصاصی به کروم نیست؛ چندی پیش هم آسیب‌پذیری ارتقا امتیاز Fragnesia در هسته لینوکس (CVE-2026-46300) با همین سرعت پوشش داده شد.
چه کسانی آسیب‌پذیرند
این آسیب‌پذیری‌ها روی گوگل کروم دسکتاپ (ویندوز، مک، لینوکس) و اندروید اثر می‌گذارند، نه روی سرورها یا نرم‌افزارهای سمت سرور. اگر کروم روی ماشینی نصب باشد که برای کارهای روزمره، مدیریت پنل‌ها، یا SSH/RDP به سرور مجازی یا سرورهای دیگر استفاده می‌شود، همان ماشین در معرض ریسک است.
| مورد | جزئیات |
|---|---|
| نسخه‌های آسیب‌پذیر | هر نسخه کروم قبل از 157.0.8103.38 |
| نسخه‌های اصلاح‌شده | 157.0.8103.38/.39 (ویندوز، مک)، 157.0.8103.38 (لینوکس) |
| پلتفرم‌های خاص | CVE-2026-121229 و CVE-2026-121246 فقط اندروید را درگیر می‌کنند |
| زمان انتشار پچ | از ۳ نوامبر ۲۰۲۶، کانال Stable |
| شدت | CVSS 9.6 (بحرانی) برای هر چهار CVE، طبق NVD |
| سوءاستفاده فعال؟ | خیر، تا کنون گزارش نشده |
اگر روی سرور یا VPS خودتان کروم یا Chromium به‌صورت headless برای کارهایی مثل اسکرپینگ، رندر PDF، یا پایپ‌لاین‌های Puppeteer/Playwright اجرا می‌کنید، همان نسخه باینری باید به‌روزرسانی شود؛ این مورد هم از دایره خطر خارج نیست.
این باگ چقدر خطرناک است
ترکیب سه عامل این باگ‌ها را در دسته جدی قرار می‌دهد: اول، مسیر حمله فقط یک صفحه وب است، نه فایل اجرایی یا پیوست ایمیل. دوم، هر چهار باگ امتیاز CVSS نزدیک به سقف (9.6 از 10) دارند، یعنی هم دسترسی آسان است و هم تاثیر مخرب بالا. سوم، این دسته از باگ‌ها (Use-After-Free و خرابی حافظه در موتور رندر یا گرافیک) معمولا بعد از افشای عمومی هدف تحقیق و سوءاستفاده‌سازها قرار می‌گیرند، حتی اگر در زمان انتشار اکسپلویت فعالی برای آن‌ها دیده نشده باشد.
با این حال، نبود سوءاستفاده فعال و نبود ثبت در CISA KEV به این معناست که نیازی به واکنش هول‌زده نیست؛ آپدیت استاندارد و به‌موقع کافی است.
چطور نسخه کروم خودتان را بررسی کنید
روی دسکتاپ کافی است آدرس زیر را در کروم باز کنید:
chrome://settings/help
یا از منو: Menu > Help > About Google Chrome. کروم به‌صورت خودکار آپدیت را بررسی و دانلود می‌کند، اما نسخه جدید فقط بعد از Relaunch فعال می‌شود. بعد از ریستارت، دوباره همین صفحه را چک کنید؛ نسخه باید 157.0.8103.38 یا بالاتر باشد.
روی سرور لینوکسی که Chrome/Chromium به‌صورت headless نصب است:
google-chrome --version
# یا برای Chromium
chromium --version
# بررسی نسخه نصب‌شده در دبیان/اوبونتو
apt list --installed | grep -i chrome
اگر خروجی عددی کمتر از 157.0.8103.38 نشان داد، سرویس هنوز آسیب‌پذیر است.
چطور آپدیت یا رفع کنیم
برای کاربران دسکتاپ راه‌حل همان Relaunch بعد از آپدیت خودکار است. گوگل هیچ راه‌حل موقت (workaround) برای نسخه‌های وصله‌نشده منتشر نکرده؛ یعنی تنها مسیر امن، آپدیت به نسخه جدید است.
برای سرورها و پایپ‌لاین‌های خودکار (مثلا رندر PDF یا اسکرپینگ با Puppeteer/Playwright روی یک VPS)، آپدیت تعاملی معنی ندارد. در این حالت باید پکیج را مجددا deploy کنید:
sudo apt update
sudo apt install --only-upgrade google-chrome-stable
google-chrome --version
یا اگر از image داکر استفاده می‌کنید، base image را به نسخه جدید تغییر داده و سرویس را rebuild و redeploy کنید.
روی یک VPS که کنترل کامل روی آن دارید، این فرآیند قابل پیش‌بینی‌تر است: قبل از آپدیت یک snapshot از سرور بگیرید تا در صورت بروز مشکل در پایپ‌لاین قابل بازگشت باشد، و با فایروال سطح سرور دسترسی به سرویس‌های headless را فقط به IPهای مجاز محدود کنید. اگر هنوز روی هاستینگ مشترک یا یک محیط با دسترسی محدود هستید و همین کنترل را ندارید، سرور مجازی آریانت این سطح از مدیریت مستقیم روی آپدیت‌ها، snapshotها و فایروال را در اختیارتان می‌گذارد.
سؤالات متداول
آیا این باگ‌ها تا الان مورد سوءاستفاده قرار گرفته‌اند؟ خیر. طبق گزارش گوگل و منابع خبری معتبر، تا زمان انتشار این مطلب هیچ‌کدام از این چهار CVE در حملات واقعی دیده نشده و در فهرست CISA KEV هم نیستند.
آیا این باگ روی سرورهای لینوکسی من که کروم نصب ندارند تاثیر دارد؟ فقط اگر روی آن سرور Chrome یا Chromium (معمولا به‌صورت headless برای اسکرپینگ یا رندر) نصب و اجرا شود. سرورهایی که کروم روی آن‌ها نصب نیست، مستقیما درگیر این آسیب‌پذیری نمی‌شوند.
چطور بفهمم نسخه کروم من آپدیت شده یا نه؟ بعد از زدن Relaunch در chrome://settings/help، دوباره همان صفحه را باز کنید. اگر عدد نسخه 157.0.8103.38 یا بالاتر را نشان داد، آپدیت با موفقیت نصب شده است.
آیا کروم اندروید هم باید آپدیت شود؟ بله، به‌خصوص چون دو مورد از این چهار CVE (CVE-2026-121229 و CVE-2026-121246) مخصوص اندروید هستند. آپدیت اپلیکیشن کروم را از طریق Google Play انجام دهید.
