کشف نقص بحرانی در مرورگر کروم

گوگل یک به‌روزرسانی امنیتی اضطراری برای مرورگر کروم منتشر کرد تا آسیب‌پذیری روز صفر بحرانی (CVE-2025-6554) را برطرف کند. این نقص، که در موتور V8 جاوااسکریپت یافت شده، به مهاجمان اجازه می‌دهد از طریق صفحات وب مخرب کد دلخواه اجرا کنند. این آسیب‌پذیری، که در حال بهره‌برداری فعال در دنیای واقعی است، تهدیدی جدی برای کاربران کروم محسوب می‌شود. گوگل از کاربران خواسته فوراً به نسخه‌های 138.0.7204.96/.97 (ویندوز)، 138.0.7204.92/.93 (مک) و 138.0.7204.96 (لینوکس) به‌روزرسانی کنند.

جزئیات آسیب‌پذیری چیست؟

• شناسه: CVE-2025-6554

• نوع تهدید: نقص نوع‌سنجی (Type Confusion) در موتور V8 جاوااسکریپت

• تأثیر: اجرای کد از راه دور، خرابی برنامه یا سرقت داده‌ها

• سیستم‌های تحت تأثیر: کروم در ویندوز، مک و لینوکس؛ مرورگرهای مبتنی بر کرومیوم مانند Edge، Opera، Brave و Vivaldi

• روش بهره‌برداری: مهاجمان از صفحات HTML مخرب برای ایجاد فساد حافظه (Memory Corruption) و اجرای کد استفاده می‌کنند.

• وضعیت: وصله در نسخه‌های ذکرشده منتشر شده؛ بهره‌برداری فعال گزارش شده است.

• کشف‌کنندگان: کلمنت لسین و ولاد استولیاروف از تیم تحلیل تهدیدات گوگل.

این نقص می‌تواند به اجرای بدافزار، سرقت اطلاعات حساس یا کنترل سیستم منجر شود و نیاز به اقدام فوری دارد.

نقص چگونه عمل می‌کند؟

1. دسترسی به صفحه مخرب: کاربران از طریق وب‌سایت‌های آلوده یا برنامه‌های وب مخرب به نقص دسترسی پیدا می‌کنند.

2. فساد حافظه: نقص نوع‌سنجی در موتور V8 امکان دستکاری حافظه را فراهم می‌کند.

3. اجرای کد: مهاجمان کد دلخواه را اجرا می‌کنند که می‌تواند به نصب بدافزار یا سرقت داده‌ها منجر شود.

4. گسترش تهدید: این آسیب‌پذیری مرورگرهای مبتنی بر کرومیوم را نیز تحت تأثیر قرار می‌دهد.

گوگل جزئیات فنی حملات را تا به‌روزرسانی اکثر کاربران محدود کرده تا از سوءاستفاده بیشتر جلوگیری کند.

چگونه از خود محافظت کنیم؟

• به‌روزرسانی فوری: کروم را به نسخه‌های 138.0.7204.96/.97 (ویندوز)، 138.0.7204.92/.93 (مک) یا 138.0.7204.96 (لینوکس) ارتقا دهید.

• فعال‌سازی به‌روزرسانی خودکار: اطمینان حاصل کنید که به‌روزرسانی‌های کروم به‌صورت خودکار اعمال می‌شوند.

• اجتناب از وب‌سایت‌های مشکوک: از کلیک روی لینک‌های ناشناس یا بازدید از سایت‌های غیرمعتبر خودداری کنید.

• نصب افزونه‌های امنیتی: از افزونه‌هایی مانند uBlock Origin برای مسدود کردن محتوای مخرب استفاده کنید.

• نظارت بر سیستم: از ابزارهای امنیتی برای شناسایی فعالیت‌های مشکوک استفاده کنید.

• پشتیبان‌گیری: از داده‌ها با روش 3-2-1-1-0 (سه نسخه، دو رسانه، یک نسخه آفلاین، یک نسخه غیرقابل‌تغییر، تست بازیابی) محافظت کنید.

چرا این تهدید مهم است؟

آسیب‌پذیری‌های روز صفر مانند CVE-2025-6554 به دلیل بهره‌برداری فعال و پتانسیل بالای آسیب‌رسانی، تهدیدی جدی هستند. کروم، به‌عنوان پرکاربردترین مرورگر جهان، هدف جذابی برای مهاجمان است. این نقص می‌تواند به سرقت داده‌ها، نصب بدافزار یا حملات گسترده‌تر منجر شود. گزارش‌های وب‌سایت‌هایی مانند BleepingComputer نشان می‌دهد که حملات روز صفر در سال ۲۰۲۵ افزایش یافته و نیاز به هوشیاری کاربران و سازمان‌ها را برجسته می‌کند.