डेस्कटॉप उपयोगकर्ताओं से Chrome के सुरक्षा सुधार इंस्टॉल करने की अपील
भारत की कंप्यूटर इमरजेंसी रिस्पॉन्स टीम, CERT-In ने 14 अक्टूबर, 2026 को Google Chrome की कमजोरियों के बारे में चेतावनी जारी की। इन कमजोरियों के जरिए हमलावर दुर्भावनापूर्ण कोड चला सकते थे, संवेदनशील जानकारी हासिल कर सकते थे या प्रभावित कंप्यूटरों को बाधित कर सकते थे। Google ने इससे एक दिन पहले 37 सुरक्षा खामियों के लिए सुधार जारी किए थे, जिनमें सात को गंभीर श्रेणी में रखा गया है।
विषय-सूची
- डेस्कटॉप उपयोगकर्ताओं से Chrome के सुरक्षा सुधार इंस्टॉल करने की अपील
- किन संस्करणों को अपडेट करना जरूरी है?
- सात गंभीर खामियां ब्राउज़र के मुख्य कामों को प्रभावित करती हैं
- प्रभावित कंप्यूटर पर क्या हो सकता है?
- पासवर्ड, JavaScript और दस्तावेज़ भी प्रभावित
- कमजोरियों की जानकारी किसने दी?
- कुछ तकनीकी विवरणों तक पहुंच सीमित क्यों है?
- शोध रिपोर्ट से सार्वजनिक चेतावनी तक
- अपडेट कैसे पूरा करें
- Edge उपयोगकर्ताओं को भी सुधार पर नजर रखनी चाहिए
- मुख्य बातें
प्रभावित संस्करण Linux पर 155.0.8059.79 से पुराने और Windows तथा macOS पर 155.0.8059.79/.80 से पुराने Chrome रिलीज हैं। उपयोगकर्ताओं को Chrome का About पेज खोलकर अपडेट की जांच करनी चाहिए और इंस्टॉलेशन पूरा करने के लिए संकेत मिलने पर ब्राउज़र फिर से शुरू करना चाहिए।
13 अक्टूबर की तारीख वाली Google की डेस्कटॉप रिलीज़ की घोषणा में सात गंभीर, 29 उच्च और एक मध्यम श्रेणी की कमजोरियों का उल्लेख है। ये खामियां ग्राफिक्स, दस्तावेज़ों, नेटवर्किंग, पासवर्ड और वेबसाइट के निर्देश चलाने वाले सॉफ़्टवेयर तक फैली हैं।
Google का कहना है कि अपडेट सभी तक पहुंचने में कुछ दिन या सप्ताह लग सकते हैं। इसलिए जो लोग तुरंत जांच करते हैं, उन्हें रिलीज़ के अधिक कंप्यूटरों तक पहुंचने पर दोबारा जांच करनी पड़ सकती है।
किन संस्करणों को अपडेट करना जरूरी है?
CERT-In की चेतावनी Windows, macOS और Linux पर डेस्कटॉप Chrome के लिए है। हांगकांग के कंप्यूटर इमरजेंसी रिस्पॉन्स टीम कोऑर्डिनेशन सेंटर, HKCERT ने भी इन्हीं प्रभावित संस्करणों की सूची दी है और सॉफ़्टवेयर विक्रेता के सुधार इंस्टॉल करने की सिफारिश की है।
- Linux: Chrome 155.0.8059.79 या उसके बाद का संस्करण इंस्टॉल करें।
- Windows: Chrome 155.0.8059.79/.80 या उसके बाद का संस्करण इंस्टॉल करें।
- macOS: Chrome 155.0.8059.79/.80 या उसके बाद का संस्करण इंस्टॉल करें।
संस्करण संख्या अहम है, क्योंकि सुधार ब्राउज़र अपडेट के जरिए दिए जाते हैं। इन कमजोरियों वाला संस्करण चलाने पर भी कंप्यूटर सामान्य रूप से वेबसाइटें खोल सकता है। घरों में पहला काम हर कंप्यूटर की जांच करना है। संगठनों को पता लगाना चाहिए कि किन मशीनों पर अपडेट पहुंच चुका है और आवश्यकतानुसार ब्राउज़र फिर से शुरू किया गया है।
Chrome का संस्करण ब्राउज़र के ऊपर दाईं ओर तीन बिंदुओं वाले मेन्यू में Help, फिर About Google Chrome के तहत दिखता है। यही पेज उपलब्ध अपडेट की जांच भी करता है।
सात गंभीर खामियां ब्राउज़र के मुख्य कामों को प्रभावित करती हैं
Google ने CVE-2026-110152 को ANGLE में गंभीर बफ़र ओवरफ़्लो बताया है। ANGLE Chrome में इस्तेमाल होने वाला ग्राफ़िक्स घटक है। बफ़र मेमोरी का वह हिस्सा होता है जिसे डेटा रखने के लिए अलग रखा जाता है। ओवरफ़्लो तब होता है जब सॉफ़्टवेयर उस हिस्से की सीमा से आगे डेटा लिख देता है। इससे आस-पास का डेटा बिगड़ सकता है या हमलावर प्रोग्राम के चलने के तरीके में दखल दे सकता है।
Google की रिलीज़ सूचना के अनुसार, depthfirst के Zhenpeng (Leo) Lin ने 30 सितंबर को ANGLE की इस कमजोरी की जानकारी दी थी। इसके संभावित नतीजों में सिस्टम क्रैश होना और दुर्भावनापूर्ण कोड चलना शामिल हैं।
अन्य छह गंभीर कमजोरियां 'यूज़ आफ्टर फ्री' त्रुटियां हैं। ये Browser, PDF, Network, Core, SVG और Media घटकों को प्रभावित करती हैं। ये घटक दस्तावेज़ों और ग्राफ़िक्स को संभालने से लेकर नेटवर्क पर संचार तक के कामों में उपयोग होते हैं।
'यूज़ आफ्टर फ्री' त्रुटि तब होती है जब सॉफ़्टवेयर मेमोरी का कोई हिस्सा छोड़ने के बाद भी उसका इस्तेमाल करता रहता है। इसे ऐसे समझें कि कोई प्रोग्राम पुराने स्टोरेज स्थान को इस तरह इस्तेमाल कर रहा है मानो उसमें पहले वाली सामग्री अब भी मौजूद हो, जबकि उस जगह पर कुछ और आ चुका हो सकता है। हमलावर नई सामग्री को प्रभावित कर सकता है और प्रोग्राम को बाधित या दूसरी दिशा में मोड़ सकता है।
Google ने छह गंभीर कमजोरियों के पहचान क्रमांक CVE-2026-110149, CVE-2026-110136, CVE-2026-110161, CVE-2026-110165, CVE-2026-110148 और CVE-2026-110151 दिए हैं। ANGLE की खामी को मिलाकर ये 37 सुधारों में से सात हैं, यानी लगभग हर पांच में एक।
प्रभावित कंप्यूटर पर क्या हो सकता है?
CERT-In ने चेताया है कि इन कमजोरियों का फायदा उठाए जाने पर मनमाना कोड चल सकता है, संवेदनशील जानकारी उजागर हो सकती है या सेवा बाधित हो सकती है। आम भाषा में, इसका मतलब है हमलावर के चुने निर्देश चलना, निजी डेटा उजागर होना या सॉफ़्टवेयर का ठीक से काम करना बंद कर देना।
14 अक्टूबर की तारीख वाले HKCERT के Chrome सुरक्षा बुलेटिन में दो अन्य संभावित असर भी बताए गए हैं: विशेषाधिकारों में बढ़ोतरी और सुरक्षा प्रतिबंधों को दरकिनार करना। पहले मामले में सामान्य रूप से अनुमत अधिकारों से अधिक अधिकार हासिल किए जा सकते हैं; दूसरे में किसी सुरक्षा नियम से बच निकलना शामिल है।
HKCERT ने बुलेटिन को मध्यम जोखिम की श्रेणी दी है, जबकि Google की सूची में सात अलग-अलग खामियां गंभीर श्रेणी की हैं। दोनों आकलनों का दायरा अलग है: HKCERT ने पूरे बुलेटिन को एक रेटिंग दी है, जबकि Google ने हर कमजोरी को अलग-अलग श्रेणी में रखा है। HKCERT ने सुधार लागू करने की सिफारिश की है।
HKCERT के बुलेटिन में CVE-2026-110136 से CVE-2026-110172 तक के पहचान क्रमांक दिए गए हैं, जिनमें सभी 37 क्रमांक शामिल हैं। CVE नंबर संदर्भ पहचान के रूप में काम करते हैं और सॉफ़्टवेयर निर्माताओं तथा प्रशासकों को अलग-अलग सूचनाओं और अपडेट में एक ही सुरक्षा समस्या को ट्रैक करने में मदद करते हैं।
पासवर्ड, JavaScript और दस्तावेज़ भी प्रभावित
Google के 29 उच्च-गंभीरता वाले सुधारों में V8 की समस्याएं शामिल हैं। V8 Chrome का JavaScript इंजन है। JavaScript ऐसे निर्देश देता है जिनसे कई वेबसाइटें इंटरैक्टिव बनती हैं। ब्राउज़र के इन निर्देशों को संसाधित करते समय इंजन में कमजोरी सामने आ सकती है।
V8 से जुड़ी खामियों में टाइप कन्फ्यूज़न की कमजोरी CVE-2026-110140 और 'यूज़ आफ्टर फ्री' की दो कमजोरियां, CVE-2026-110168 तथा CVE-2026-110169 शामिल हैं। टाइप कन्फ्यूज़न का मतलब है कि सॉफ़्टवेयर किसी डेटा को ऐसे संभालता है मानो वह किसी दूसरी किस्म का हो। इससे मेमोरी का असुरक्षित इस्तेमाल हो सकता है।
Chrome के Passwords घटक में उच्च-गंभीरता वाली तीन खामियां हैं: जानकारी लीक होने की एक और 'यूज़ आफ्टर फ्री' की दो त्रुटियां। अन्य सुधार Extensions, WebRTC, DOM, Canvas और PDFium से जुड़े हैं। ये घटक ऐड-ऑन, ब्राउज़र संचार, वेबपेज संरचना, चित्रकारी और PDF प्रोसेसिंग में काम आते हैं।
Google ने ReadingMode, Installer, Updater और Mojo में अनुमति से जुड़ी कमजोरियां भी सूचीबद्ध की हैं। उदाहरण के लिए, ऑथराइज़ेशन त्रुटि का संबंध इस बात से है कि कोई प्रोग्राम सही ढंग से जांचता है या नहीं कि किसी कार्रवाई की अनुमति है। मध्यम-गंभीरता वाली एकमात्र खामी FileSystem में 'यूज़ आफ्टर फ्री' कमजोरी है, जिसका पहचान क्रमांक CVE-2026-110142 है।
कमजोरियों की यह विस्तृत सूची बताती है कि अपडेट किसी एक तरह की ब्राउज़िंग तक सीमित क्यों नहीं है। Chrome टेक्स्ट, स्क्रिप्ट, ग्राफ़िक्स, दस्तावेज़ और नेटवर्क डेटा प्रोसेस करता है। यह रिलीज़ इनमें से कई प्रोसेसिंग रास्तों की कमजोरियों को ठीक करती है।
कमजोरियों की जानकारी किसने दी?
Google के श्रेय विवरण के अनुसार, Anthropic के Xinyang Ge ने Claude की सहायता से 28 सितंबर को V8 की उच्च-गंभीरता वाली कमजोरी CVE-2026-110169 की जानकारी दी थी। सूचना में शोधकर्ता, संगठन और सहायता का उल्लेख है, लेकिन Claude की भूमिका का अधिक विवरण नहीं दिया गया।
Google ने PDF, SVG और Media में गंभीर कमजोरियों समेत कई अन्य खामियों की जानकारी देने का श्रेय भी Xinyang Ge को दिया है। Browser, Network और Core की गंभीर त्रुटियों की जानकारी Google ने खुद दी। अन्य नामित योगदानकर्ताओं में Hoyong Jin, M. Fauzan Wijaya, Aria Akhavan, Souma Ohsawa और Andrew Boni शामिल हैं।
जानकारी देने की तारीखें दिखाती हैं कि इस रिलीज़ में कई महीनों में मिली कमजोरियों को शामिल किया गया है। Google की सूची में Bindings की एक कमजोरी शामिल है, जिसकी जानकारी 25 मार्च को दी गई थी, और Media की कुछ नई कमजोरियां भी हैं, जिनकी जानकारी 6 अक्टूबर को मिली। इन सभी को इस स्थिर रिलीज़ में ठीक किया जा रहा है।
कुछ तकनीकी विवरणों तक पहुंच सीमित क्यों है?
Google का कहना है कि उपयोगकर्ताओं को अपडेट मिलने तक कुछ बग रिकॉर्ड तक पहुंच सीमित रह सकती है। Google Chrome के लिए रिलीज़ घोषणा प्रकाशित करने वाले Srinivas Sista ने कंपनी की जानकारी साझा करने की नीति समझाई:
बग के विवरण और लिंक तक पहुंच तब तक सीमित रखी जा सकती है, जब तक अधिकांश उपयोगकर्ताओं को सुधार वाला अपडेट न मिल जाए।
Google का यह भी कहना है कि अगर कोई कमजोरी ऐसी लाइब्रेरी को प्रभावित करती है जिसका उपयोग दूसरे प्रोजेक्ट करते हैं और उन्होंने अब तक उसे ठीक नहीं किया है, तो पाबंदियां जारी रह सकती हैं। लाइब्रेरी दोबारा इस्तेमाल किया जा सकने वाला सॉफ़्टवेयर होता है, इसलिए एक ही मूल त्रुटि को ठीक करने के लिए कई विकास टीमों को काम करना पड़ सकता है।
रिलीज़ सूचना में प्रभावित घटकों और त्रुटियों के प्रकार बताए गए हैं, जबकि कुछ विस्तृत तकनीकी रिकॉर्ड तक पहुंच सीमित है। उपयोगकर्ताओं के लिए व्यावहारिक जानकारी वह संस्करण है जिसमें सुधार शामिल हैं। प्रशासक इन पहचान क्रमांकों की मदद से इस रिलीज़ का मिलान कमजोरियों की निगरानी और सॉफ़्टवेयर की सूची से कर सकते हैं।
शोध रिपोर्ट से सार्वजनिक चेतावनी तक
मुख्य तारीखें बताती हैं कि अलग-अलग खामियों की जानकारी से ब्राउज़र अपडेट और फिर सार्वजनिक सुरक्षा चेतावनियां कैसे जारी हुईं:
- 28 सितंबर, 2026: Anthropic के Xinyang Ge ने Claude की सहायता से V8 की CVE-2026-110169 की जानकारी दी।
- 30 सितंबर: depthfirst के Zhenpeng (Leo) Lin ने ANGLE के गंभीर बफ़र ओवरफ़्लो की जानकारी दी।
- 1 से 6 अक्टूबर: Google और अन्य शोधकर्ताओं ने रिलीज़ में शामिल कई और गंभीर तथा उच्च-गंभीरता वाली कमजोरियों की जानकारी दी।
- 13 अक्टूबर: Google ने 37 सुरक्षा सुधारों वाला Chrome का स्थिर अपडेट घोषित किया।
- 14 अक्टूबर: CERT-In ने चेतावनी जारी की और HKCERT ने उन्हीं 37 पहचान क्रमांकों को शामिल करते हुए अपना बुलेटिन प्रकाशित किया।
Google की रिलीज़ तारीख वितरण की शुरुआत को दर्शाती है। कंपनी के मुताबिक, इसे सभी तक पहुंचने में कुछ दिन या सप्ताह लग सकते हैं। इसलिए घोषणा के बाद भी अपडेट जारी रहेगा और जिन कंप्यूटरों पर शुरुआत में अपडेट उपलब्ध न दिखे, उनकी दोबारा जांच करना उपयोगी होगा।
अपडेट कैसे पूरा करें
Chrome उपयोगकर्ता ब्राउज़र की अंतर्निहित अपडेट स्क्रीन से शुरुआत कर सकते हैं। इसके चरण सीधे हैं:
- Chrome खोलें और ऊपर दाईं ओर तीन बिंदुओं वाला मेन्यू चुनें।
- Help, फिर About Google Chrome चुनें।
- Chrome को उपलब्ध अपडेट की जांच और डाउनलोड करने दें।
- अगर संकेत मिले तो अधूरा काम सहेजें और Relaunch चुनें।
- इंस्टॉल किए गए संस्करण की जांच के लिए About पेज पर लौटें।
ब्राउज़र को फिर से शुरू करना जरूरी है, क्योंकि अपडेट डाउनलोड करना और अपडेट किया हुआ ब्राउज़र चलाना अलग-अलग चरण हैं। पुराना ब्राउज़र सत्र खुला रखने से इंस्टॉलेशन पूरा होने में देर हो सकती है।
संगठनों को अपने सभी डेस्कटॉप कंप्यूटरों पर इंस्टॉल किए गए संस्करण जांचने चाहिए, जिनमें वे डिवाइस भी शामिल हैं जिनके उपयोगकर्ता ब्राउज़र बहुत कम बंद करते हैं। लक्ष्य यह पुष्टि करना है कि मशीनों पर सुधार वाला रिलीज़ चल रहा है और जरूरत पड़ने पर रीस्टार्ट भी पूरा हो चुका है।
जिन उपयोगकर्ताओं को अभी यह रिलीज़ नहीं दिख रही है, उन्हें Google के वितरण के दौरान फिर से जांच करनी चाहिए। आधिकारिक रिलीज़ सूचना के मुताबिक वितरण में कुछ दिन या सप्ताह लग सकते हैं। यानी घोषणा वाले दिन ही हर कंप्यूटर पर अपडेट आ जाने की अपेक्षा नहीं करनी चाहिए।
Edge उपयोगकर्ताओं को भी सुधार पर नजर रखनी चाहिए
Microsoft Edge में Chromium का इस्तेमाल होता है, वही ब्राउज़र प्लेटफ़ॉर्म जिस पर Chrome भी आधारित है। इसलिए साझा सॉफ़्टवेयर की कुछ कमजोरियों के लिए Edge में भी सुधार जारी करना जरूरी हो सकता है।
Microsoft ने 13 अक्टूबर की सलाह में Chromium के हालिया सुरक्षा सुधारों को स्वीकार किया और कहा कि वह अपडेट पर काम कर रहा है। चेतावनी जारी होने के समय संबंधित स्थिर चैनल सुरक्षा अपडेट जारी नहीं हुआ था और Microsoft ने इसकी तारीख नहीं बताई थी।
Edge उपयोगकर्ताओं को Microsoft का अपडेट उपलब्ध होने पर उसकी जांच करनी चाहिए। जो लोग दोनों ब्राउज़र इस्तेमाल करते हैं, उन्हें प्रत्येक की जांच करनी होगी: Chrome को सुरक्षा रिलीज़ Google के जरिए मिलती है, जबकि Edge को Microsoft के जरिए।
मुख्य बातें
- CERT-In ने 14 अक्टूबर, 2026 को डेस्कटॉप Chrome उपयोगकर्ताओं को ऐसी कमजोरियों के बारे में चेताया, जिनसे डेटा उजागर हो सकता है, सॉफ़्टवेयर बाधित हो सकता है या दुर्भावनापूर्ण कोड चल सकता है।
- Google की 13 अक्टूबर की रिलीज़ में 37 खामियों के सुधार हैं: सात गंभीर, 29 उच्च और एक मध्यम श्रेणी की।
- ठीक किए गए संस्करण Linux के लिए 155.0.8059.79 और Windows तथा macOS के लिए 155.0.8059.79/.80 हैं; इसके बाद के संस्करण भी सुरक्षित हैं।
- उपयोगकर्ताओं को Help, फिर About Google Chrome में जाकर अपडेट इंस्टॉल करना चाहिए और संकेत मिलने पर ब्राउज़र फिर से शुरू करना चाहिए।
- Google का कहना है कि अपडेट के वितरण में कुछ दिन या सप्ताह लग सकते हैं। Microsoft ने संबंधित Edge स्थिर अपडेट की तारीख घोषित नहीं की थी।
