Google раскрыла детали незакрытой уязвимости в Chromium, позволяющей удалённое выполнение кода в браузере

20 мая 2026 года Google сняла ограничения доступа к записи об уязвимости в публичном трекере Chromium Issue Tracker. Баг, известный разработчикам с декабря 2022 года, затрагивает все браузеры на базе Chromium — Google Chrome, Microsoft Edge, Brave, Opera, Vivaldi и другие.

Проблема связана с механизмом Browser Fetch API и Service Workers. Эти технологии позволяют браузеру продолжать выполнять фоновые задачи после закрытия вкладки — например, докачивать файл. Исследователь Лайра Ребейн установила, что специально сформированная веб-страница способна запустить бесконечную фоновую задачу и поддерживать постоянное соединение с сервером злоумышленника. Это открывает возможность удалённого выполнения кода (RCE, Remote Code Execution) — то есть запуска произвольных команд на устройстве пользователя без его участия. В Microsoft Edge соединение сохраняется даже после полного закрытия браузера и возобновляется после перезагрузки системы.

Уязвимость получила приоритет P1 и степень серьёзности S2 по классификации Chromium, однако за 42 месяца патч так и не вышел. 20 мая 2026 года система автоматически открыла запись по регламенту трекера, предусматривающему снятие ограничений через 14 недель после закрытия бага. Ребейн в тот же день подтвердила, что уязвимость воспроизводится в Chrome Dev 150 и Edge 148 — примененное исправление фактически не устранило проблему. Официального комментария от Google на момент публикации не поступало. Корпоративным пользователям рекомендуется ограничить работу Service Workers через групповые политики и отслеживать аномальные сетевые соединения браузерных процессов.

Что известно на сегодня
Уязвимость существует более трёх лет и после случайного раскрытия деталей стала общедоступной. Это упрощает её использование для создания ботнетов и проведения DDoS-атак. Единственная доступная мера для рядовых пользователей — установить обновление браузера сразу после его выхода.

По данным BleepingComputer (20 мая 2026 года) и CyberSecurityNews, а также оригинального отчёта исследователя Лайры Ребейн в Chromium Issue Tracker.