Chrome в 2026: седьмой 0-day и защита от атак ClickFix

Браузер — главная рабочая программа почти в любом офисе, и уязвимости в нём касаются всех. В 2026 году Google закрыл в Chrome уже семь используемых в атаках уязвимостей нулевого дня: последняя, CVE-2026-87491, исправлена 8 сентября в движке V8. А 21 октября Google добавил в браузер защиту от атак ClickFix. Разбираем, что из этого важно для бизнеса.

Семь 0-day за год

Уязвимость нулевого дня — это та, которую атакуют до выхода исправления. Семь таких за неполный год в одном браузере — много, но объяснимо: Chrome — самая массовая цель, и его изучают и защитники, и злоумышленники.

Большинство связано с движком V8, который исполняет JavaScript. Общее у всех: достаточно открыть специально подготовленную страницу, чтобы запустить атаку. Поэтому главная защита — держать браузер обновлённым: Chrome обновляется сам, но обновление вступает в силу только после перезапуска. На практике именно перезапуск и становится слабым местом: люди неделями не закрывают браузер, и компьютер остаётся на уязвимой версии, хотя обновление уже скачано.

Что такое ClickFix и новая защита

ClickFix — распространённая в 2026 году схема обмана. Пользователю показывают убедительную страницу, которая просит «исправить проблему»: скопировать и выполнить команду, якобы для доступа к сайту или проверки, что вы не робот. На деле человек своими руками запускает вредоносную команду на своём компьютере.

21 октября Google добавил в Chrome защиту: если браузер подозревает, что скопированная команда — это ClickFix, он убирает из неё личные данные, отправляет на анализ и при опасности показывает предупреждение. Защита работает в режиме расширенной защиты Safe Browsing. Там же появилась менее строгое предупреждение «подозрительный сайт».

Что это значит для бизнеса

Две новости — про одно: браузер стал и целью, и рубежом защиты. Практические выводы простые.

1. Держите браузеры обновлёнными на всех рабочих компьютерах и напоминайте сотрудникам перезапускать их. Обновление без перезапуска не действует.
2. Объясните сотрудникам схему ClickFix. Главное правило: никогда не выполнять команды, которые просит скопировать и вставить незнакомый сайт. Легальный сайт этого не требует.
3. Включите расширенную защиту Safe Browsing там, где это уместно: по заявлению Google, она в разы снижает риск фишинга и социальной инженерии.
4. Не полагайтесь только на браузер. Его защита — слой, а не гарантия.

Наше мнение

Нас радует, что защита переезжает в сам браузер: предупреждение перед опасной командой или подозрительным сайтом спасает тех, кто не разбирается в технике. Но мы предостерегаем от иллюзии, что «браузер сам всё закроет». Семь 0-day за год показывают, что уязвимости находят быстрее, чем раньше, и часть атак проходит до появления защиты.

Для бизнеса разумная стратегия — сочетать три вещи: автоматическое обновление браузеров с контролем, что они действительно перезапускаются; обучение сотрудников простым правилам (не выполнять чужие команды, не вводить коды на сторонних сайтах); и ограничение прав, чтобы даже успешная атака через браузер не дала доступ ко всему. ClickFix опасен именно тем, что обходит технические барьеры через человека, а против этого помогает не технология, а привычка.

Чему учит схема ClickFix

ClickFix — хороший пример того, как современные атаки обходят защиту. Антивирус и браузер проверяют файлы и ссылки, но когда человек сам вводит команду, формально ничего подозрительного не происходит: пользователь же сам это сделал. Поэтому злоумышленники всё чаще атакуют не технику, а доверие. Лучшая защита здесь — короткое и понятное правило для всех сотрудников, которое легко запомнить и применить в момент сомнения.

Как объяснить правило сотрудникам

Технические детали сотрудникам не нужны, нужно одно запоминающееся правило. Сформулировать его можно так: «Если сайт или всплывающее окно просит скопировать и куда-то вставить команду — это обман, закрываем страницу». Полезно привести пару примеров, как это выглядит: фальшивая проверка «вы не робот», которая просит нажать Win+R и вставить текст; «инструкция по исправлению ошибки», которая предлагает выполнить команду в консоли. Разобранный на планёрке живой пример запоминается лучше любой инструкции.

Отдельно стоит договориться о простом канале проверки: если сотрудник сомневается, к кому он обращается за тридцать секунд. Часто люди выполняют вредную команду не по глупости, а потому что спешат и некого спросить. Понятный ответ «в таких случаях пиши сюда» снимает большую часть риска.

Такое же правило стоит распространить на коды подтверждения: их тоже нельзя вводить на сторонних сайтах и в ботах, сколько бы убедительно ни звучала причина. Схемы ClickFix и кражи кодов подтверждения бьют в одну точку — доверие человека, и защищает от них привычка, а не антивирус.