Chrome 157 Güvenlik Güncellemesi: Aktif İstismar Edilen CVE-2026-125350 CISA Kataloğunda

Google, 9 Kasım 2026’da masaüstü Chrome’un kararlı kanalını Windows ve Mac için 157.0.8103.50/.51, Linux için 157.0.8103.50 sürümüne güncelledi ve dokuz güvenlik düzeltmesi içeren bu sürümde XML bileşenindeki CVE-2026-125350 açığı için “istismarın sahada var olduğundan haberdar olduğunu” bildirdi; ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) açığı 10 Kasım 2026’da istismar edilen açıklar kataloğuna (KEV) ekledi.

Bu oyunun bahis oranları yüksektir.

Künye

Dokuz Düzeltme, Sekiz CVE

Google’ın sürüm notu güncellemenin dokuz güvenlik düzeltmesi içerdiğini söylüyor. Listede ise sekiz farklı CVE numarası bulunuyor; çünkü CVE-2026-125350’ye iki ayrı hata kaydı bağlanmış. Bu açığı 12 Ekim 2026’da Neonix Security’den Arni Hardarson, 6 Kasım 2026’da ise anonim bir araştırmacı bildirmiş. Listede “Critical” derecesinde açık yok; altısı High, ikisi Medium.

CISA Ne Diyor?

CISA’nın kataloğundaki kayda göre CVE-2026-125350, Chromium’un XML bileşeninde bir use-after-free açığıdır ve uzaktaki bir saldırganın özel hazırlanmış bir web sayfası aracılığıyla korumalı alan (sandbox) içinde kod çalıştırmasına olanak verebilir. CISA, açığın Google Chrome, Microsoft Edge ve Opera dahil Chromium tabanlı birden fazla tarayıcıyı etkileyebileceğini yazıyor. Fidye yazılımı kampanyalarında kullanımı “bilinmiyor” olarak işaretli. Katalogdaki son tarih yalnızca ABD federal kurumlarını bağlar; diğer kullanıcılar için anlamı, açığın gerçek saldırılarda kullanıldığının resmî olarak kayda geçmesidir.

Aynı gün KEV kataloğuna Microsoft Outlook’taki CVE-2026-124194 de eklendi; o açığın ayrıntıları Microsoft Kasım 2026 Yama Salısı sayfamızda yer alıyor. Chrome’un bir sonraki ana sürümünün erken dağıtımı için Chrome 158 erken kararlı sürüm sayfamıza bakabilirsiniz.

Güncelleme Nasıl Kontrol Edilir?

Google, sürümün önümüzdeki gün ve haftalar içinde kademeli olarak dağıtılacağını belirtiyor; yani her bilgisayara aynı anda ulaşmayabilir. Kullanıcılar menüden Yardım ve Google Chrome Hakkında bölümünü açarak güncellemeyi elle başlatabilir; güncelleme indirildikten sonra tarayıcının yeniden başlatılması gerekir. Sürüm numarası 157.0.8103.50 veya daha yüksekse düzeltme yüklüdür. Chromium tabanlı diğer tarayıcıların kullanıcıları ise kendi üreticilerinin güncellemelerini izlemelidir.

Use-After-Free Nedir?

Use-after-free, bir programın serbest bıraktığı bellek alanını daha sonra yeniden kullanmaya çalışmasıyla ortaya çıkan bir bellek güvenliği hatasıdır. Saldırgan o alana kendi verisini yerleştirebilirse programın akışını değiştirebilir. Tarayıcılarda bu tür hatalar genellikle bir web sayfasının açılmasıyla tetiklenebildiği için ciddiye alınır. Chrome’da kod korumalı alan içinde çalıştığından, tam ele geçirme için çoğu zaman ikinci bir açığa ihtiyaç duyulur.

Bu Sayfada Ne Yok?

• Saldırıları kimin, hangi hedeflere karşı yaptığı: Google ve CISA açıklamıyor.
• Hata ödülü tutarları: sürüm notunda yer almıyor.
• Microsoft Edge ve Opera’nın düzeltilmiş sürüm numaraları: bu üreticilerin sayfaları okunmadı.
• Açıkların CVSS puanları: Google’ın sürüm notunda yer almıyor.
• iOS’taki Chrome 158 sürümünün güvenlik içeriği: notta yalnızca kararlılık ve performans iyileştirmesi yazıyor; güvenlik yaması olarak sunulmamıştır.
• Saldırıda kullanılan teknik ayrıntılar: hata kayıtları kısıtlı tutuluyor.
• Açığın kritik sınıfta olduğu iddiası: Google’ın derecelendirmesi High’dır.

Sık Sorulan Sorular

Chrome 157’de kaç güvenlik açığı kapatıldı?

Sürüm notuna göre dokuz güvenlik düzeltmesi var; bunlar sekiz farklı CVE numarasına karşılık geliyor.

Aktif istismar edilen Chrome açığı hangisi?

CVE-2026-125350. Google, bu açık için istismarın sahada var olduğundan haberdar olduğunu yazıyor.

CVE-2026-125350 kritik mi?

Google’ın derecelendirmesi High’dır. Açık istismar edildiği için önceliklidir, ancak “Critical” sınıfında değildir.

CISA açığı ne zaman kataloğa ekledi?

10 Kasım 2026’da. ABD federal kurumları için son tarih 24 Kasım 2026.

Edge ve Opera da etkileniyor mu?

CISA’ya göre açık, Chromium tabanlı birden fazla tarayıcıyı etkileyebilir; Edge ve Opera kayıtta örnek olarak sayılıyor.

Hangi sürümü kullanmalıyım?

Windows ve Mac’te 157.0.8103.50/.51, Linux’ta 157.0.8103.50 veya daha yeni bir sürüm.

Kaynak ve kapsam: Bilgiler Google’ın 9 Kasım 2026 tarihli Chrome kararlı kanal sürüm notundan, aynı tarihli Extended Stable ve Android notlarından ve CISA’nın istismar edilen açıklar kataloğundan okunmuştur. Saldırı ayrıntısı, ödüller ve diğer tarayıcıların sürüm numaraları kaynaklarda bulunmadığından yazılmamıştır. Veri tarihi: 12 Kasım 2026.