গুগল ক্রোম CVE-2026-125350: এক্সএমএল-এ বিনামূল্যে ব্যবহারের পরে, বন্যের মধ্যে শোষণ বিদ্যমান — এখনই প্যাচ করুন

Google 9 নভেম্বর 2026-এ ডেস্কটপ ক্রোমের জন্য একটি স্থিতিশীল চ্যানেল আপডেট প্রকাশ করেছে যা CVE-2026-125350 সম্বোধন করে, এটি Chrome-এর XML কম্পোনেন্টে ব্যবহারের পর-মুক্ত। Google CVE-2026-125350 কে উচ্চ রেট দেয় এবং বলে, শব্দার্থে: “Google সচেতন যে CVE-2026-125350 এর জন্য একটি শোষণ বন্যের মধ্যে বিদ্যমান।” যে বিক্রেতা শব্দ. এই পরামর্শে শিকারের সংখ্যা, প্রচারাভিযানের নাম, বা শোষণ কিভাবে ব্যবহার করা হয় তার বিবরণ যোগ করে না।

অফিসিয়াল স্ট্যাবল বিল্ড হয় উইন্ডোজ এবং ম্যাকের জন্য 157.0.8103.50/.51 এবং লিনাক্সের জন্য 157.0.8103.50. Android পোস্ট শিপের জন্য একই দিনের অফিসিয়াল Chrome 157.0.8103.50 এবং বলে যে অ্যান্ড্রয়েড রিলিজে সংশ্লিষ্ট ডেস্কটপ রিলিজের মতো একই নিরাপত্তা ফিক্স থাকে যদি না অন্যথায় উল্লেখ করা হয়; যে পোস্ট কোন ব্যতিক্রম নোট. বর্ধিত স্থিতিশীল গ্রাহকদের আলাদা অফিসিয়াল 9 নভেম্বরের আপডেটটি প্রয়োগ করা উচিত, যা উইন্ডোজ এবং ম্যাককে নিয়ে যায় 156.0.8078.96 এবং CVE-2026-125350 এর উচ্চ সংশোধনগুলির মধ্যে তালিকাভুক্ত করে। গুগল বলেছে যে ডেস্কটপ আপডেটগুলি “আগামী দিন/সপ্তাহে রোল আউট হবে,” তাই 9 নভেম্বর প্রকাশের তারিখ প্রমাণ নয় যে প্রতিটি শেষ পয়েন্ট ইতিমধ্যেই প্যাচ করা হয়েছে৷ ইনস্টল করা সংস্করণ নিশ্চিত করুন এবং পুনরায় চালু করুন।

HKCERT-এর 10 নভেম্বর 2026 বুলেটিনে একই স্থিতিশীল-চ্যানেল সংশোধনগুলি রেট করা হয়েছে অত্যন্ত উচ্চ ঝুঁকি এবং বলে CVE-2026-125350 “বন্যে শোষণ করা হচ্ছে।” সেই ঝুঁকি লেবেলটি হল HKCERT এর; CVE-2026-125350-এর জন্য Google-এর উচ্চ তীব্রতা এবং প্রাথমিক রেকর্ড হিসাবে Google-এর ইন-দ্য-ওয়াইল্ড বাক্যকে পছন্দ করে। এই পর্যালোচনা অনুসারে (10 নভেম্বর 2026, 08:38 এশিয়া/জেরুজালেম UTC+2), CVE-2026-125350-এর কোনো প্রকাশিত cve.org রেকর্ড নেই (CVE প্রোগ্রাম API CVE_RECORD_DNE ফেরত দিয়েছে) এবং NVD API শূন্য ফলাফল দিয়েছে, তাই CVNA বা CNVD-এর স্কোর নেই। CVE-2026-125350 CISA Known Exploited Vulnerabilities ক্যাটালগে নেই (catalogVersion 2026.11.09, dateReleased 2026-11-09T19:54:37.4945Z, 10 November 203Jeral/2028-এ চেক করা হয়েছে UTC+2)। একটি ইন-দ্য-ওয়াইল্ড শোষণের বিষয়ে Google এর সচেতনতা এখনও প্যাচ এবং এখনই পুনরায় লঞ্চ করার একটি কারণ।

প্রযুক্তিগত তথ্য

ডেস্কটপ তালিকার জন্য Google এর 9 নভেম্বর 2026 স্থিতিশীল চ্যানেল আপডেট নয়টি নিরাপত্তা সংশোধন: সাতটি উচ্চ এবং দুটি মাঝারি। CVE-2026-125350 শিরোনাম উচ্চ: XML-এ বিনামূল্যের পরে ব্যবহার করুন এবং ছিল 2026-11-06 তারিখে বেনামী দ্বারা রিপোর্ট করা হয়েছে. একই আপডেটে XML-এ দ্বিতীয় উচ্চ ব্যবহার-পর-মুক্ত অন্তর্ভুক্ত রয়েছে, CVE-2026-125346আর্নি হার্ডারসন (নিওনিক্স সিকিউরিটি) 2026-10-12 তারিখে রিপোর্ট করেছেন। শুধুমাত্র CVE-2026-125350 হল ইন-দ্য-ওয়াইল্ড এক্সপ্লয়েট বাক্যে শনাক্তকারী Google নাম। সেই দুটি শনাক্তকারীকে একই বাগ হিসাবে বিবেচনা করবেন না।

Google CVE-2026-125350-এর জন্য কোনও প্রযুক্তিগত লেখা, শোষণের পদ্ধতি বা সূচক প্রকাশ করেনি। স্ট্যাবল-চ্যানেল পোস্ট নোট করে যে বাগ বিবরণ এবং লিঙ্কগুলিতে অ্যাক্সেস সীমিত রাখা যেতে পারে যতক্ষণ না বেশিরভাগ ব্যবহারকারী একটি সংশোধন করে আপডেট করা হয়। এই পরামর্শটি শোষণের পদক্ষেপ বা পেলোড পুনর্গঠন করে না।

এই ড্রাফ্টের জন্য পর্যালোচনা করা অফিসিয়াল Google পোস্টগুলি ChromeOS বা ChromeOS Flex-এ CVE-2026-125350-এর জন্য একটি ফিক্স বরাদ্দ করে না। সর্বশেষ অফিসিয়াল ChromeOS / ChromeOS Flex Stable পোস্ট এখানে পর্যালোচনা করা হয়েছে 6 নভেম্বর 2026 তারিখে (ব্রাউজার) 156.0.8078.93) এবং এই CVE তালিকাভুক্ত করে না; একটি পরবর্তী অফিসিয়াল ChromeOS পরামর্শের বিপরীতে Chromebook ফ্লিটগুলি ট্র্যাক করুন। ক্রোমিয়াম-ভিত্তিক ব্রাউজার তাদের বিক্রেতা পরীক্ষা করা উচিত; অফিসিয়াল Google পোস্ট এবং HKCERT বুলেটিন তাদের প্যাচ স্ট্যাটাস জানায় না, এবং এই পরামর্শদাতা তাদের জন্য সংস্করণ দাবি করে না বা তারিখ নির্ধারণ করে না।

প্রভাবিত পণ্য সংস্করণ

“Chrome 157” বা “Chrome 156” এর মতো প্রধান-সংস্করণ লেবেলের পরিবর্তে সঠিক ইনস্টল করা সংস্করণটি নিশ্চিত করুন৷ এই শনাক্তকারীর জন্য স্থির সংস্করণের নীচে আগের বিল্ডগুলিকে আনপ্যাচ করা হিসাবে বিবেচনা করুন।

ওয়ার্কআউন্ড এবং প্রশমন

ফিক্স হল অফিসিয়াল গুগল আপডেট। প্রতিটি পরিচালিত এবং অব্যবস্থাপিত Chrome ইনস্টলে, সেই চ্যানেল এবং প্ল্যাটফর্মের জন্য নির্দিষ্ট বিল্ডে আপডেট করুন, তারপর পুনরায় লঞ্চ ক্রোম তাই নতুন বাইনারি আসলে চলমান. একটি দীর্ঘ-চলমান ব্রাউজার প্রক্রিয়ায় অবশিষ্ট একটি আপডেট একটি সম্পূর্ণ সমাধান নয়।

এন্টারপ্রাইজ এস্টেটের জন্য, আপনার Chrome বা এন্ডপয়েন্ট ম্যানেজমেন্ট টুলের মাধ্যমে অফিসিয়াল আপডেট এবং একটি সময়মত পুনরায় লঞ্চ করুন এবং পরিবর্তনের পরে ইনস্টল করা সংস্করণটি রেকর্ড করুন। শুধুমাত্র ঐচ্ছিক ব্যবহারকারী-প্রম্পটেড আপডেটের উপর নির্ভর করবেন না। একটি পুরানো বিল্ডে একটি কিয়স্ক বা তৃতীয় পক্ষের ছবি রাখে এমন যেকোনো পিন তুলুন। বর্ধিত স্থিতিশীল গ্রাহকদের সরানো উচিত 156.0.8078.96156.0.8078.88 এ থাকবে না। ক্রোমিয়াম-ভিত্তিক ব্রাউজার তাদের বিক্রেতা পরীক্ষা করা উচিত; এই উপদেশ সেই পণ্যগুলির জন্য একটি সংস্করণ বা প্যাচ তারিখ দাবি করে না। পর্যালোচনা করা Google পোস্টগুলিতে কোনও অফিসিয়াল ওয়ার্কআউন্ড প্রদর্শিত হয় না এবং একটি উদ্ভাবনের কোনও ভিত্তি নেই।

সমঝোতার সূচক

Google এই খসড়াটির জন্য পর্যালোচনা করা অফিসিয়াল সামগ্রীতে CVE-2026-125350-এর জন্য IP ঠিকানা, ডোমেন, ফাইল হ্যাশ বা সনাক্তকরণ স্বাক্ষর প্রকাশ করেনি। সংখ্যাগরিষ্ঠ ব্যবহারকারী আপডেট না হওয়া পর্যন্ত বাগ বিবরণ সীমাবদ্ধ থাকতে পারে। সূচক উদ্ভাবনের কোন ভিত্তি নেই। অপ্রত্যাশিত নতুন ব্রাউজার প্রসেস, এক্সটেনশন বা আউটবাউন্ড সংযোগগুলি শুধুমাত্র সাধারণ অনুসন্ধানমূলক লিড, CVE-2026-125350 এর নির্দিষ্ট প্রমাণ নয়।

আজ আপনার সরবরাহকারীদের কী জিজ্ঞাসা করবেন

VDI, কন্ট্রাক্টর ল্যাপটপ, কিয়স্ক এবং গ্রাহক-মুখী সহায়তা টুল সহ আপনার জন্য ব্রাউজার চালায় এমন যেকোনো সরবরাহকারী, পরিচালিত পরিষেবা প্রদানকারী বা কর্মক্ষেত্রকে জিজ্ঞাসা করুন:

1. আপনি কি গুগল ক্রোম চালান এবং কোন চ্যানেলে? স্ট্যাবল, এক্সটেন্ডেড স্টেবল, অ্যান্ড্রয়েড, এবং যেকোনও ChromeOS ডিপ্লোয়মেন্টকে শনাক্ত করুন, সেই ছবিগুলি সহ যেগুলি আপনি নিজে প্যাচ করেন না।
2. আপনি একটি নির্দিষ্ট বিল্ড উপর? সঠিক ইনস্টল করা সংস্করণের জন্য অনুরোধ করুন — 157.0.8103.50/.51 (Windows এবং Mac Stable), 157.0.8103.50 (Linux বা Android), অথবা 156.0.8078.96 (Windows এবং Mac Extended Stable) — কোনও জেনেরিক নয় “Chrome-এ” বা “Chrome 15 তারিখ পর্যন্ত” আছে৷
3. যদি না হয়, আপনার প্যাচ এবং পুনরায় লঞ্চ তারিখ কি? একটি নামযুক্ত মালিক, একটি টার্গেট তারিখ এবং প্রমাণ প্রয়োজন যে ব্রাউজারগুলি আপডেটের পরে পুনরায় চালু করা হয়েছিল, যে কোনও পিন করা বা এয়ার-গ্যাপ করা ছবিগুলি সহ।
4. আপনি কি তাদের বিক্রেতার সাথে অন্যান্য ক্রোমিয়াম-ভিত্তিক ব্রাউজারগুলি পরীক্ষা করেছেন? সেই ফলো-আপের মালিক কে জিজ্ঞাসা করুন। এই উপদেশটি সেই পণ্যগুলির জন্য একটি সংস্করণ বা প্যাচ তারিখ দাবি করে না।

বন্ধ করার জন্য অসম্পূর্ণ উত্তর ট্র্যাক করুন. সরবরাহকারীর প্রশ্ন হল গুণগত TPRM ফলো-আপ; তারা একটি ইন্টারনেট-স্কেল ব্যাপকতা দাবি নয়.

কোন সরবরাহকারীরা এখনও CVE-2026-125350 এর জন্য আনপ্যাচড ক্রোম চালায় এবং তাদের অফিসিয়াল আপডেট এবং পুনঃলঞ্চ প্ল্যানগুলি ট্র্যাক করছে তা সনাক্ত করতে সহায়তা প্রয়োজন? আমাদের দল আপনাকে তাদের অগ্রাধিকার দিতে এবং তাদের উত্তর ট্র্যাক করতে সাহায্য করতে পারে। একজন বিশেষজ্ঞের সাথে কথা বলুন

সূত্র

• গুগল: ডেস্কটপের জন্য স্থিতিশীল চ্যানেল আপডেট, 9 নভেম্বর 2026 — 157.0.8103.50/.51 (উইন্ডোজ এবং ম্যাক), 157.0.8103.50 (লিনাক্স); নয়টি নিরাপত্তা সংশোধন; উচ্চ CVE-2026-125350 XML-এ বিনামূল্যের পরে ব্যবহার করুন, 2026-11-06 তারিখে বেনামী দ্বারা রিপোর্ট করা হয়েছে; “Google সচেতন যে CVE-2026-125350 এর জন্য একটি শোষণ বন্যের মধ্যে বিদ্যমান।”
• Google: ডেস্কটপের জন্য বর্ধিত স্থিতিশীল আপডেট, 9 নভেম্বর 2026 — Windows এবং Mac-এর জন্য 156.0.8078.96; তালিকা উচ্চ CVE-2026-125350. ইন-দ্য-ওয়াইল্ড বাক্যের পুনরাবৃত্তি করে না।
• গুগল: অ্যান্ড্রয়েড আপডেটের জন্য ক্রোম, 9 নভেম্বর 2026 – 157.0.8103.50; সংশ্লিষ্ট ডেস্কটপ রিলিজ হিসাবে একই নিরাপত্তা সংশোধন করা হয় যদি না অন্যথায় উল্লেখ করা হয়।
• Google: ChromeOS / ChromeOS Flex এর জন্য স্থিতিশীল চ্যানেল আপডেট, 6 নভেম্বর 2026 — ব্রাউজার 156.0.8078.93; CVE তালিকায় CVE-2026-125350 অন্তর্ভুক্ত নেই।
• HKCERT: Google Chrome একাধিক দুর্বলতা, 10 নভেম্বর 2026 — অত্যন্ত উচ্চ ঝুঁকি; “CVE-2026-125350 বন্যের মধ্যে শোষণ করা হচ্ছে।”
• CVE-2026-125350-এর জন্য CVE.org রেকর্ড পৃষ্ঠা — 10 নভেম্বর 2026 08:38 এশিয়া/জেরুজালেম UTC+2-এ চেক করা হয়েছে; cveawg.mitre.org এ CVE প্রোগ্রাম API CVE_RECORD_DNE ফেরত দিয়েছে (কোন প্রকাশিত রেকর্ড নেই, CNA CVSS নেই)।
• NVD CVE-2026-125350 — NVD API 2.0 একই চেকে মোট ফলাফল 0 ফেরত দিয়েছে (টাইমস্ট্যাম্প 2026-11-10T06:38:53.085Z)।
• CISA দুর্বলতার ক্যাটালগ JSON ফিড — ক্যাটালগ সংস্করণ 2026.11.09, তারিখ প্রকাশিত হয়েছে 2026-11-09T19:54:37.4945Z, 10 নভেম্বর 2026 08:38 এশিয়া/জেরুজালেম UTC+2 এ চেক করা হয়েছে; CVE-2026-125350 তালিকাভুক্ত নয়।