Güvenlik firması XBOW'daki bir ekip, şirketin açıklamasına göre, kullanıcı sadece bir web sayfası yüklediğinde Windows bilgisayarında kod çalıştıran tek bir saldırıya dönüştürdüğü üç daha önce bilinmeyen Google Chrome açığını zincirledi.
Araştırmacılar, saldırıyı OpenAI'ın kamuya açık GPT-5.6 Sol modelini çalıştıran yapay zekâ ajanlarını yönlendirerek altı günde inşa etti. Google daha sonra üç açığı da doğruladı, düzeltti ve XBOW'a tam Chrome açığı için en yüksek 250 bin dolar ödülünü ödedi.
Saldırı tam bir zincir: bir web sayfasından bilgisayara kadar Chrome'un korumasının her katmanını kırmak için birlikte kullanılan bir dizi açık.
Chrome, web sayfası kodunu makinenin geri kalanına ulaşmasını engelleyen bariyerler olan iki iç içe kum havuzunda çalıştırır. Zincir her ikisini de geçti. Sonuç, kullanıcının tıklamasına ya da bir şey indirmesine gerek kalmadan Windows'ta Chrome dışında çalışan kod oldu.
Üç açık da artık düzeltildi ve XBOW bunların Chrome kullanıcılarına karşı hiç kullanılmadığını söylüyor. Herkesçe bilinen tanımlayıcı taşıyan ikisi, 25 Ağustos'ta Chrome 152.0.7977.65 ve 3 Eylül'de 152.0.7977.82 sürümlerinde düzeltildi.
Chrome kendi kendine güncellenir, ancak düzeltme yalnızca tarayıcı yeniden başlatıldıktan sonra etkili olur, bu yüzden Chrome'u yeniden başlatıp sürümün 152.0.7977.82 veya daha yeni olduğunu teyit etmek gerekiyor.
Altı gün manşet, çerçevesi de gerekiyor. XBOW ödüllendirilen zinciri, Las Vegas'taki Black Hat ve DEF CON konferansları sırasında Pazar 2 Ağustos ile Cuma 7 Ağustos arasında inşa etti. Bu sprint, aylar süren önceki çalışmanın ardından geldi: şirket Ocak ayında Malta'daki bir personel toplantısında zorluğu belirledi ve ilk tam Chrome zinciri iki ayda tamamlandı.
Ödüllendirilen zincirin bir versiyonu neredeyse başarısız oldu; çünkü dayandığı bir açığın Google'ın zaten bildiği bir şey olduğu ortaya çıktı. XBOW açığı değiştirilebilir parçalar halinde yedeklerle hazır inşa etmişti, bu yüzden o parçayı değiştirdi ve zincir ayakta kaldı. Şirketin kullanım kayıtlarına göre altı günlük çalışma yaklaşık 40 bin dolar yapay zekâ ücreti tuttu.
XBOW, yapay zekânın ne yaptığını ve insanların ne yaptığını net şekilde ayırdı. Yapay zekâ ajanları Chrome'un kaynak kodunu aradı, fikirleri test etti, kavram kanıtları oluşturdu ve açığın ilk taslaklarını yazdı. Araştırmacılar hedefleri seçti, bağlam sağladı, ajanların sonuçlarını sorguladı ve hangi parçaların birleştirileceğine karar verdi.
Ödüllendirilen zinciri ajanlarla birlikte kuran araştırmacılardan biri Brendan Dolan-Gavitt. Dolan-Gavitt yazdı: "LLM'lerden önce bir Chrome tam zinciri dört kişilik bir ekibin 6-9 ayda üretmesi gerekirdi, ilk gönderimiz 2 ay sürdü. Ödüllendirilen olan? altı gün."
Üç açık Chrome'un farklı bölümlerindeydi. Google'ın kendi sürüm notları, ikisi için XBOW'dan Dolan-Gavitt'i kredilendiriyor ve her birini düzelten sürümü listeliyor.
V8, Chrome'un JavaScript motoru
152.0.7977.82 (3 Eyl)
Animated-WebP görüntü kod çözücü
Kamu tanımlayıcısı listelenmedi
Chrome 152 döngüsü
Crashpad, Chrome'un çökme işleyicisi
152.0.7977.65 (25 Ağu)
İlk açık, saldırganın Chrome'un JavaScript motoru içindeki belleğin kontrolünü ele geçirmesini sağladı.
İkinci açık, animasyonlu WebP görüntülerini okuyan koddaki, bu kontrolü kullanarak motorun iç kum havuzundan çıkmasını ve bilgisayar belleğine tek kesin yazma yapmasını sağladı.
Üçüncüsü, kum havuzunun dışında çalışan Chrome'un çökme işleyicisi Crashpad'de, o tek yazmayı makinede tam kod çalıştırma haline getirdi.
Her iki tanımlanmış açık da yüksek önem derecesine sahip ve kullanıcının bir sayfa yüklemesi gerekiyor. WebP açığı aynı Chrome 152 döngüsünde düzeltildi, ancak bunun için kamuya açık bir tanımlayıcı doğrulanamıyor: XBOW'un duyurusunun WebP aşamasına verdiği CVE-2026-85045 tanımlayıcısı, Google ve XBOW'un kendi teknik yazısında her ikisinin de V8 açığına verdiği tanımlayıcı.
Google'ın Chrome Açıklık Ödül Programı, 2026'da güncellediği kurallar kapsamında tek bir rapor için sunduğu en yüksek tutar olan tam zincir açık için 250 bin dolara kadar ödüyor. Yılda en fazla dört tanesine ödül veriyor. XBOW bunun 2026 kuralları altındaki ilk tam zincir Chrome ödülü ve otonom bir güvenlik şirketine verilen ilk ödül olduğunu söylüyor.
Düzeltmeler gönderilmeden önce, şirketin açıklamasına göre açıklar, Windows'ta Chrome kullanan tahmini 1 milyar kişiyi bu tür bir saldırıya karşı risk altına soktu.
XBOW'un vurgusu hız. Kurucu Oege de Moor duyuruda şunları söyledi: "Tek bir araştırmacının daha önce aylar sürecek bir zinciri üretmesi için tahmini 40 bin dolarlık hesaplama ve altı gün yeterli oldu."
Dolan-Gavitt savunma yapanlar için uyarıyı açıkça dile getirdi: "Chrome zinciri karşılığında altı gün ve 40 bin dolar çok fazla zaman ya da para değil!" Dediği kadarıyla bar artık çok daha alçak. "Buna göre savunma yapın."
