كشفت مجلة Forbes عن تحذير أمني مهم من جوجل لمستخدمي متصفح Chrome حول العالم بعد أن تأكدت من استغلال مهاجمين لثغرتين من نوع Zero-Day في المتصفح قبل أن يتم اكتشافهما وإصلاحهما رسميًا.
التحديث الأمني الذي أصدرته جوجل يستهدف حوالي 3.5 مليار مستخدم لكروم على أنظمة تشغيل مختلفة، ويشير التحذير إلى أن الهجمات جارية بالفعل وفقًا لمصادر أمنية وتقنية متخصصة.
ثغرتان جديدتان CVE-2026-3909 وCVE-2026-3910
نقلت Forbes عن تقارير من منصات أمنية مثل BleepingComputer وThe Register أن الثغرتين المكتشفتين تحملان الرمزين CVE‑2026‑3909 وCVE‑2026‑3910، وهما تصنفان كثغرات عالية الخطورة في مكونات أساسية للمتصفح، حيث تقع إحدى الثغرتين في مكتبة الرسوميات Skia والأخرى في محرك جافاسكريبت V8، وهذا يعني أن المهاجمين يمكنهم استغلالهما بسهولة من خلال زيارة صفحات ويب خبيثة مصممة خصيصًا لهذا الغرض.
جوجل أكدت في نشرتها الأمنية أنها على علم بوجود استغلال فعلي للثغرتين، لكنها لم تفصح عن تفاصيل تقنية دقيقة حول كيفية الاستغلال أو هوية المهاجمين، وذلك لحماية المستخدمين حتى يتمكن أكبر عدد ممكن منهم من تحديث متصفحاتهم.
ثلاث ثغرات Zero-Day في كروم منذ بداية 2026
ذكرت Forbes أن هذه ليست المرة الأولى التي تضطر فيها جوجل لإصدار تحديث طارئ لكروم هذا العام، حيث تأتي الثغرتان الجديدتان بعد نحو شهر من ثغرة Zero-Day أخرى تحمل الرمز CVE‑2026‑2441، والتي تم استغلالها أيضًا قبل اكتشافها.
تقارير أمنية أوضحت أن الثغرة السابقة كانت من نوع “Use-after-free” في طريقة تعامل كروم مع بعض عناصر CSS، مما سمح للمهاجمين بتنفيذ شيفرة خبيثة داخل صندوق تشغيل المتصفح، وفتح المجال أمام سرقة بيانات الجلسة أو كلمات المرور في بعض السيناريوهات.
جوجل تدعو المستخدمين لإعادة تشغيل المتصفح فورًا بعد التحديث
نقلت Forbes عن تحذيرات جوجل أن تحميل التحديث الأمني في الخلفية ليس كافيًا لحماية المستخدم، إذ يتطلب الأمر إعادة تشغيل المتصفح لتفعيل التصحيحات بالكامل.
جوجل أشارت إلى أن الطريقة الأسرع للتحقق من حالة التحديث هي الذهاب إلى قائمة الإعدادات ثم قسم “About Google Chrome”، حيث يقوم المتصفح بفحص الإصدار الحالي وتحميل أي تحديث متاح، قبل أن يطلب من المستخدم إعادة التشغيل لإكمال عملية التثبيت.
تجاهل إعادة تشغيل كروم بعد ظهور التحديث يعني أن المتصفح سيظل يعمل بالإصدار القديم المعرض للاستغلال، حتى لو تم تحميل النسخة الجديدة في الخلفية، لذا فإن خطوة إعادة التشغيل تعتبر حاسمة لإغلاق أي ثغرات أمام القراصنة.
توصيات أمان إضافية للمستخدمين والشركات
خبراء الأمن السيبراني ينصحون، بالإضافة إلى التحديث الفوري وإعادة تشغيل المتصفح، بتوخي الحذر من الروابط المجهولة ورسائل البريد العشوائي خلال الفترات التي تعلن فيها جوجل عن ثغرات Zero-Day في كروم.
بعض المهاجمين يستغلون الاهتمام الإعلامي بهذه الثغرات لشن هجمات عبر رسائل تدعي تقديم “روابط تحديث” أو “أدوات فحص” لكنها تقود إلى برمجيات خبيثة، لذا الاعتماد فقط على التحديث الرسمي داخل كروم هو الخيار الأكثر أمانًا.
المؤسسات التي تدير أعدادًا كبيرة من الأجهزة ينبغي عليها التأكد من دفع التحديث عبر أدوات الإدارة المركزية في أسرع وقت، وإصدار تنبيهات داخلية للموظفين تشدد على ضرورة إعادة تشغيل المتصفح فور ظهور إشعار التحديث لتقليل فترة تعرض الشبكة لمخاطر الاستغلال.