Google, Chrome masaüstü tarayıcısına dokuz güvenlik açığını kapatan acil güncelleme yayımladı; bunlardan biri, saldırganların sahada fiilen kullandığı açıklamayla doğrulanmış yüksek riskli bir XML hatası: CVE-2026-125350. Kusur, ismi açıklanmayan bir araştırmacı tarafından 6 Kasım'da bildirilmiş, yama üç gün sonra geldi. Böylece 2026'da fiilen istismar edildiği doğrulanan Chrome sıfır-günü sayısı sekize ulaştı.
Google, Chrome masaüstü sürümüne pazartesi günü toplam dokuz güvenlik düzeltmesi içeren güncelleme yayımladı ve bunlardan birinin saldırılarda fiilen kullanıldığını doğruladı. Yüksek risk dereceli CVE-2026-125350 kimlikli açık, tarayıcının XML bileşenindeki bir ‘use-after-free’ (serbest bırakılmış belleği yeniden kullanma) hatası: program, hafızadan tahliye ettiği bir bellek alanına yeniden erişmeye çalıştığında veri bozulması, çökme ve zincirlendiğinde keyfi kod çalıştırma mümkün olabiliyor. Google, ‘CVE-2026-125350 için sahada bir istismarın varlığından haberdarız’ ifadesini kullandı ama saldırıların nasıl yapıldığına veya kimlerin arkasında olduğuna dair ayrıntı vermedi.
Teknik ayrıntı Chromium yamasından okunabiliyor: hata, XML belgelerini XSLT biçim sayfalarıyla dönüştüren açık kaynak libxslt kitaplığının örüntü-eşleme önbelleğinde. İç içe XML değerlendirmesi, önbelleğe alınmış bir nesneyi serbest bırakıp yerini değiştirirken daha önceki bir işlem eski bellek adresini elinde tutabiliyor ve aynı belleği ikinci kez serbest bırakmaya kalkabiliyor. Bu tür tarayıcı açıklarının olağan dağıtım yolu, XML çözümleyicisini tetikleyen hazırlanmış bir web sayfası — yani kullanıcıyı tek bir bağlantıya çekmek saldırgan için yeterli.
Hatanın ismi açıklanmayan bir araştırmacı tarafından 6 Kasım’da bildirilmesi ve yamanın üç gün sonra gelmesi, sürecin hızlı işlediğini gösteriyor. Yama Chrome 157.0.8103.50/.51 (Windows ve macOS) ve 157.0.8103.50 (Linux) sürümlerinde; kurumsal Extended Stable kanalı 156.0.8078.96’ya güncelleniyor. Google’ın dağıtımı ‘gelecek günler/haftalar’ içinde kademeli yapacağını belirtmesi, tarayıcıyı elle güncellemeyi erken koruma sağlayan tek adım haline getiriyor: Ayarlar menüsünden Yardım > Google Chrome Hakkında adımı sürümü anında çeker.
Bu, 2026’da fiilen istismar edildiği Google tarafından doğrulanan sekizinci Chrome sıfır-günü. Yıl boyunca kapatılan öncekiler arasında ocak başındaki CVE-2026-2441, mayıstaki çift CVE-2026-3909/3910, ağustostaki CVE-2026-5281 ve eylüldeki V8 motorundaki CVE-2026-87491 sayılabilir — tek yılda sekiz fiilen-kullanılan sıfır-gün, saldırganların tarayıcı yüzeyine yatırımını gösteren bir tempo. Güncelleme paketinin geri kalanı da hafife alınacak cinsten değil: ikinci bir XML use-after-free hatası (CVE-2026-125346) ile WebGL, FileSystem, Compositing, GPU ve V8 bileşenlerindeki altı yüksek riskli düzeltme daha var; bunların çoğunu Google kendi iç incelemesiyle buldu, iki orta riskli GPU sorunu da pakete dahil.
Kapsam açısından iki not: Açık henüz ABD Siber Güvenlik ve Altyapı Güvenliği Kurumu’nun (CISA) Fiilen İstismar Edilen Açıklar kataloğunda görünmüyordu — eklenmesi durumunda federal kurumlar için yama süre sınırlaması başlar. Ayrıca Google, kullanıcıların büyük bölümü güncellenene kadar hata ayrıntılarını kısıtlı tuttuğu için istismar zincirinin tam resmi şimdilik bilinmiyor. Teknik takibat için izlenecek kapılar: CISA katalog girişi, saldırı kampanyasına dair ilk güvenlik-firma raporları ve libxslt yukarı akış düzeltmesi. Şimdilik pratik mesaj basit: Chrome’u bugün güncelleyin.