Google выпустила экстренное обновление Chrome для всех платформ

В движке V8 обнаружена уязвимость, позволяющая выйти за пределы допустимой области памяти. Google подтвердила, что рабочий эксплойт уже существует и активно применяется злоумышленниками.

Также в обновлении закрыты 17 критических уязвимостей типа use-after-free. Уязвимые компоненты охватывают Ozone, Aura, Bluetooth, Autofill, Gamepad, Printing и ряд других модулей браузера.

Новая версия Chrome получила номера 149.0.7827.102/103 для Windows и macOS и 149.0.7827.102 для Linux. Обновление можно запустить вручную через раздел «О браузере Chrome», после чего потребуется перезапуск.

#chrome #zeroday #google #обновление

@ZerodayAlert

Полученный max[.]ru TLS-сертификат от Let's Encrypt не будет продлен после 4 сентября, как уверяет сам УЦ, выдавший сертификат. До этого сертификат на этот домен был отозван уже GlobalSign. Let's Encrypt также отозвал сертификат у российской биржи, торгующей уязвимостями OpZero.

Но никакого "отключения HTTPS в России" не произошло, как это иногда преподается в некоторых каналах или СМИ. Произошло публичное напоминание, что HTTPS давно перестал быть чисто технической функцией веб-сервера. Публичный сертификат – это зависимость от глобальной инфраструктуры доверия, а эта инфраструктура живет по правилам юрисдикций, браузерных программ, аудиторов, санкционных офисов и риск-комитетов самих УЦ.

GlobalSign, Let’s Encrypt, Apple, Cloudflare, HARICA – это не одна рука Госдепа, нажимающая одну красную кнопку. Это разные участники одной экосистемы, каждый со своим комплаенсом и своим пониманием риска; хотя для российского бизнеса результат может выглядеть одинаково: вчера все работало, сегодня сертификат отозван, приложение удалено, домен помечен как недоверенный или вредоносный, пользователи видят ошибку.

Генеральный директор GlobalSign Russia в своем письме пишет, что:

Обращаем ваше внимание, что отзыв производится в одностороннем порядке международным регулятором (CA/B Forum) на основании глобальных правил Baseline Requirements. ООО «Джи-Эм-О Глобал Сайн Раша», как локальное юридическое лицо, не имеет правовых или технических рычагов влияния на решения данного консорциума.

Тут он, конечно, лукавит. CA/Browser Forum – это отраслевой форум УЦ и разработчиков браузеров, который принимает Baseline Requirements и EV Guidelines. Он не вводит санкции, не ведет санкционные списки и не принимает решений "отозвать сертификаты российских компаний". И он не регулятор. Да, УЦ обязаны соблюдать Baseline Requirements CA/B Forum, свои CP/CPS, требования браузерных программ касательно корневых сертификатов и, самое главное, применимое право. А санкционные ограничения – это не решение CA/B Forum, а следствие применимого права конкретной юрисдикции УЦ: США, ЕС, Великобритания, Япония и т.п.

В EV Guidelines действительно есть проверка по ограничительным спискам и если УЦ имеет операции в США, он должен предпринимать разумные шаги для проверки по американским спискам BIS Denied Persons List, BIS Entity List, OFAC SDN List и экспортным правилам США. То есть это не "международные санкции вообще", а конкретно санкционные и экспортные ограничения США для УЦ с американской пропиской.

У Let’s Encrypt 4 июня 2026 года появилась версия Subscriber Agreement 1.7. В ней пользователь сертификата гарантирует, что он не является лицом или организацией, находящейся, зарегистрированной или обычно пребывающей в стране/территории под всесторонними санкциями США; не является запрещенной или ограниченной стороной по санкционному и экспортному праву США или другому применимому праву; и не принадлежит/не контролируется такими лицами.

Но есть нюанс. Представитель Let’s Encrypt в обсуждении написал, что сертификаты продолжают быть доступны в России и Иране для негосударственных организаций. Он также сослался на исключения, защищающие персональные коммуникации, и на авторизации OFAC согласно OFAC General License 25G и OFAC FAQ 1040, связанные с интернет-свободой и правами человека. Это не официальный policy-документ, но это полезное публичное разъяснение позиции Let’s Encrypt. То есть для обычной российской коммерческой организации, не включенной в санкционные списки и не контролируемой санкционным лицом, наличие GL 25G может быть аргументом в пользу продолжения допустимости обслуживания в американских и иных УЦ.

Кстати, в письме гендиректора GlobalSign Russia есть еще один интересный фрагмент:

Список сертификатов, которые подлежат отзыву со стороны международной структуры в прикреплённом файле. Отзыв запланирован на субботу 13 июня в 02:10 BST. Мы искренне сожалеем о действиях международных регуляторов, создающих подобные неудобства для российского ИТ-рынка.

Так что вы проснетесь и у десятков российских юрлиц уже будут отозваны сертификаты.

#pki #санкции