Google выпустила Chrome 156 с одним из крупнейших пакетов исправлений безопасности и одновременно изменила правила посещения незащищённых сайтов. Новая версия браузера закрывает сразу 353 уязвимости, включая шесть критических. Параллельно Chrome начал по умолчанию предупреждать пользователей перед подключением к сайтам по протоколу HTTP, позволяющему перехватывать и подменять передаваемые данные.

Обновление от 20 октября устранило ошибки в десятках компонентов браузера. Версия 156.0.8078.47 предназначена для Linux, а сборки 156.0.8078.47 и 156.0.8078.48 распространяются для Windows и macOS. Google выпускает исправления постепенно в течение нескольких дней и недель. Масштаб обновления превысил сентябрьский пакет, закрывший 108 уязвимостей.

Среди критических проблем выделяется CVE-2026-113303 в компоненте WebRTC, отвечающем за передачу аудио и видео в реальном времени. Повреждение памяти позволяет злоумышленнику потенциально выполнить произвольный код внутри изолированной среды браузера через специально подготовленную HTML-страницу. Google присвоила ошибке критический уровень опасности, а оценка CVSS 3.1 составляет 8,8 балла.

Ещё одна критическая уязвимость, CVE-2026-113279, затрагивает подсистему Accessibility, обеспечивающую доступность интерфейса. Ошибка также допускает выполнение кода внутри песочницы при посещении вредоносной страницы. Оценка CVSS 3.1 составляет 8,8 балла. Другие критические дефекты затрагивают Skia, CSS, Paint и Accessibility. Подтверждённых случаев эксплуатации перечисленных проблем Google не привела.

Отдельное изменение касается защиты сетевых соединений. Команда Chrome 21 октября объявила о включении предупреждений перед небезопасными HTTP-подключениями для всех пользователей по умолчанию. Раньше браузер преимущественно обозначал подобные страницы как незащищённые уже после открытия. Теперь Chrome запрашивает разрешение до установления соединения, позволяя отказаться от передачи данных без шифрования.

Предупреждение появляется при первом посещении HTTP-сайта. После разрешения браузер не повторяет запрос, пока пользователь продолжает регулярно открывать ресурс. Если сайт не посещали минимум две недели, предупреждение может появиться снова. Для локальных IP-адресов и внутренних имён вроде intranet предусмотрены исключения. Подобные ресурсы часто не поддерживают публичные HTTPS-сертификаты и используются для доступа к маршрутизаторам.

Google рассчитывает, что новые предупреждения не станут постоянным раздражителем. Первые результаты внедрения показали, что почти 95% пользователей настольного Chrome за неделю вообще не сталкиваются с предупреждениями HTTP, а менее 1% видят три и более. Переход к обязательному подтверждению стал возможен благодаря широкому распространению HTTPS. При этом браузер не блокирует HTTP окончательно, оставляя возможность продолжить соединение вручную.