«Обновить и изолировать»: эксперты Ankey RBI объяснили, как компаниям снижать риск неизвестных уязвимостей браузера

3 сентября Google выпустила обновление Chrome 152.0.7977.82/.83, устраняющее 12 проблем безопасности. Среди них — CVE-2026-85046, уязвимость высокого уровня опасности типа type confusion в движке V8. Компания отдельно подтвердила, что эксплойт для неё уже используется злоумышленниками.

Спустя пять дней, 8 сентября, вышел бюллетень по Chrome 153: релиз включал 230 исправлений безопасности. В их числе — CVE-2026-87491, связанная с записью за границами буфера в V8. Она получила среднюю оценку серьёзности, однако Google также сообщила о существовании эксплойта «в дикой природе».

«Публикация очередной zero day — это напоминание о существовании "окна риска". Эксплойт может уже применяться, в то время как исправление ещё не установлено на всех рабочих местах, а средства обнаружения не располагают полным набором индикаторов. RBI позволяет изменить саму архитектуру доступа: недоверенный веб-код исполняется в одноразовой удалённой среде, а не на устройстве сотрудника. При этом патч-менеджмент, EDR, SWG, DLP и MFA сохраняют свои роли», — подчеркнул Константин Хитрово, менеджер по продукту Ankey RBI компании «Газинформсервис».

Эксперт в области кибербезопасности, менеджер по продвижению продуктов компании «Газинформсервис» Маргарита Белявская добавила, что серия обновлений показывает, что для корпоративной защиты значение имеет не только формальная оценка CVE. Даже уязвимость со средней категорией опасности может потребовать приоритетного устранения, если злоумышленники уже применяют её в атаках.

«Первоочередной мерой после публикации обновлённой версии остаётся обновление Chrome и контроль фактически установленных версий на рабочих станциях. Организациям также необходимо проверять статус обновлений других браузеров на базе Chromium. При этом установка патчей не всегда способна полностью закрыть период между началом эксплуатации уязвимости и установкой исправления на всех корпоративных устройствах. Google указывает, что новые версии масштабируются постепенно, а доступ к техническим сведениям об уязвимостях может ограничиваться до обновления большинства пользователей», — подчеркнула она.

Эксперт добавила, что в подобных случаях — применительно к браузерным zero day — компаниям необходимо прибегать к специализированным средствам защиты, таким как Ankey RBI. «Технология Remote Browser Isolation — удалённая изоляция браузера, применяется как дополнительный уровень защиты веб-доступа. При традиционной модели сайт и его активный код обрабатываются браузером непосредственно на рабочей станции. Средства защиты должны определить вредоносную активность и остановить её до развития атаки. При использовании RBI браузерная сессия запускается в удалённой изолированной среде. На устройство пользователя передаётся графическое представление веб-ресурса, а потенциально опасный JavaScript и другие активные компоненты страницы не выполняются на рабочей станции».

Константин Хитрово отметил, что браузер Ankey RBI работает внутри одноразового контейнера, отделённого от компьютера конечного пользователя и корпоративной сети. После завершения сессии контейнер уничтожается. Таким образом, RBI не исправляет саму уязвимость браузера, но уменьшает зону возможного воздействия эксплойта: атакуемой средой становится удалённый контейнер, а не корпоративное рабочее место.

Эксперты сошлись во мнении, что после сообщений Google компаниям следует проверить версии Chrome на всех управляемых устройствах и обеспечить установку исправлений. Отдельного контроля требуют компьютеры, на которых браузер редко перезапускается, удалённые рабочие места и системы с ограниченным доступом к сервисам обновления.

Для пользователей с повышенными привилегиями, сотрудников финансовых подразделений, руководителей, администраторов, операторов критической инфраструктуры и рабочих мест, с которых регулярно открываются внешние или некатегоризированные сайты, целесообразно оценить удалённую изоляцию браузера как дополнительный эшелон защиты.

Практический подход может предусматривать разделение веб-ресурсов:

• внутренние и доверенные корпоративные системы открываются в обычном управляемом браузере;
• внешние, неизвестные, некатегоризированные или рискованные сайты направляются в RBI;
• загружаемые файлы перед передачей на рабочее место проходят централизованную проверку.

Добавим, что подробнее о решении Ankey RBI эксперты «Газинформсервиса» совместно с экспертами компании Fortis расскажут на вебинаре 15 сентября в 11:00 (МСК). Регистрация уже открыта.