এক্সএমএল দুর্বলতাকে শোষণ করে গুগল ক্রোম জিরো-ডে প্যাচ করে

ব্রাউজারের এক্সএমএল কম্পোনেন্টে সক্রিয়ভাবে শোষিত দুর্বলতা মোকাবেলা করে গুগল একটি ক্রোম নিরাপত্তা আপডেট প্রকাশ করেছে, যা এই বছর ক্রোম জিরো-ডে প্যাচ করা সংখ্যা আট এ নিয়ে এসেছে। প্রকাশটি ব্রাউজার আপডেটগুলিকে ত্বরান্বিত করতে এবং ব্যবহারকারীরা প্রভাবিত ইনস্টলেশনগুলি পুনরায় চালু করেছে তা যাচাই করার জন্য সংস্থাগুলির উপর নতুন করে চাপ সৃষ্টি করে৷

দুর্বলতা, হিসাবে ট্র্যাক CVE-2026-125350একটি উচ্চ-তীব্রতার ব্যবহার-পরে-মুক্ত ত্রুটি। গুগল তিন দিন আগে একটি বেনামী প্রতিবেদন পাওয়ার পরে 9 নভেম্বর ফিক্স প্রকাশ করে।

“গুগল সচেতন যে জন্য একটি শোষণ CVE-2026-125350 বন্য মধ্যে বিদ্যমান,” কোম্পানি তার বিবৃত Chrome নিরাপত্তা পরামর্শ. আপডেটটিতে নয়টি নিরাপত্তা সংশোধন রয়েছে।

সর্বশেষ প্রকাশটি 2026 সালের মধ্যে প্যাচ করা আরও সাতটি সক্রিয়ভাবে শোষিত ক্রোম দুর্বলতা অনুসরণ করে। যাইহোক, বাস্তব-বিশ্বের শোষণের অস্তিত্ব প্রমাণ করে না যে আক্রমণগুলি কতটা ব্যাপক বা কোন ব্যবহারকারীরা সবচেয়ে বেশি এক্সপোজারের মুখোমুখি হয়েছেন।

সফ্টওয়্যার পুনরায় ব্যবহারের জন্য সেই মেমরিটি প্রকাশ করার পরে মেমরি অ্যাক্সেস করা চালিয়ে যাওয়ার পরে-মুক্ত-ব্যবহারের দুর্বলতা দেখা দেয়। একটি বাসি রেফারেন্স তারপরে এমন একটি অঞ্চলকে নির্দেশ করতে পারে যেখানে বিভিন্ন ডেটা রয়েছে, যার ফলে প্রোগ্রামটি অপ্রত্যাশিতভাবে আচরণ করে।

MITRE এর এই দুর্বলতার বর্ণনা ক্র্যাশ, ডেটার দুর্নীতি, তথ্য প্রকাশ এবং উপযুক্ত পরিস্থিতিতে আক্রমণকারী-নিয়ন্ত্রিত কোড কার্যকর করা সহ বেশ কয়েকটি সম্ভাব্য পরিণতি চিহ্নিত করে। ফলাফল দুর্বল অপারেশন এবং প্রভাবিত স্মৃতি প্রভাবিত করার আক্রমণকারীর ক্ষমতা উপর নির্ভর করে।

ব্রাউজার ব্যবহারকারীদের জন্য, এই শ্রেণীর ত্রুটি সম্পর্কিত কারণ ব্রাউজারগুলি নিয়মিতভাবে বাহ্যিকভাবে সরবরাহ করা সামগ্রী প্রক্রিয়া করে। তা সত্ত্বেও, ব্যবহারের পর-মুক্ত শোষণের সাধারণ ক্ষমতাগুলিকে কীভাবে এই বিশেষ দুর্বলতাকে অস্ত্র করা হয়েছে তার একটি নিশ্চিত অ্যাকাউন্টের সাথে বিভ্রান্ত করা উচিত নয়।

পাবলিক ডিসক্লোজার সুনির্দিষ্ট ডেলিভারি মেকানিজম, একজন শিকারের কাছ থেকে প্রয়োজনীয় ক্রিয়াকলাপ বা আক্রমণকারীরা অতিরিক্ত দুর্বলতার সাথে ত্রুটিটিকে একত্রিত করেছে কিনা তা প্রতিষ্ঠিত করে না। ডিভাইস টেকওভার সম্পূর্ণ করার জন্য এটিকে একটি নিশ্চিত রুট হিসাবে বর্ণনা করা তাই উপলব্ধ প্রমাণের বাইরে চলে যাবে।

Google-এর স্বীকৃতি প্রমাণ করে যে এটি একটি তাত্ত্বিক নিরাপত্তা সমস্যার চেয়ে বেশি। একটি নিয়ন্ত্রিত গবেষণা সেটিং এর বাইরে একটি কাজের শোষণ পরিলক্ষিত হয়েছে।

যাইহোক, কোম্পানির পাবলিক নোটিশ আক্রমণকারী, শিকার সংগঠন, টার্গেট করা দেশ বা প্রচারণাকে চিহ্নিত করে না। এটি সমঝোতার প্রচার-নির্দিষ্ট সূচকও প্রদান করে না যা ডিফেন্ডাররা রিপোর্ট করা কার্যকলাপ সনাক্ত করতে ব্যবহার করতে পারে।

গুগল বলেছে যে ব্যবহারকারীরা আপডেট ইনস্টল করার সময় এটি দুর্বলতার বিবরণ সীমাবদ্ধ করতে পারে, যেখানে অন্যান্য প্রকল্পগুলি প্রভাবিত তৃতীয় পক্ষের লাইব্রেরির উপর নির্ভর করে। এই ডিসক্লোজার নীতিটি নিজে থেকেই প্রতিষ্ঠিত করে না যে একটি নির্দিষ্ট শেয়ার্ড লাইব্রেরি এই ত্রুটির জন্য দায়ী৷

নিরাপত্তা দলগুলির জন্য, সীমিত প্রকাশ একটি ব্যবহারিক পার্থক্য তৈরি করে: প্যাচিংকে অগ্রাধিকার দেওয়ার জন্য যথেষ্ট প্রমাণ রয়েছে, কিন্তু আত্মবিশ্বাসের সাথে এই শোষণের জন্য সন্দেহজনক কার্যকলাপকে দায়ী করার জন্য অপর্যাপ্ত জনসাধারণের তথ্য। সংস্থাগুলিকে তাদের সিস্টেমগুলি নিরাপদ বলে প্রমাণ হিসাবে প্রকাশিত আক্রমণের সূচকগুলির অনুপস্থিতিকে চিকিত্সা করা এড়াতে হবে।

ক্রোমের নিরাপত্তা স্থাপত্য সীমানা প্রবর্তন করে যা আপোস করা ব্রাউজার উপাদানগুলি কি করতে পারে তা সীমিত করার উদ্দেশ্যে।

ক্রোমিয়াম প্রকল্পের স্যান্ডবক্স ডকুমেন্টেশন ব্যাখ্যা করে যে রেন্ডারার প্রক্রিয়াগুলি একটি সীমাবদ্ধ পরিবেশে কাজ করে। এই বিধিনিষেধগুলি অপারেটিং-সিস্টেম সংস্থানগুলিতে অ্যাক্সেস সীমিত করে এবং একটি স্যান্ডবক্সড প্রক্রিয়ার মধ্যে একটি ত্রুটিকে স্বয়ংক্রিয়ভাবে কম্পিউটারে অনিয়ন্ত্রিত অ্যাক্সেস প্রদান থেকে প্রতিরোধ করতে সহায়তা করে।

সম্ভাব্য প্রভাব মূল্যায়ন করার সময় এই পার্থক্য গুরুত্বপূর্ণ। একটি সীমাবদ্ধ ব্রাউজার প্রক্রিয়ার মধ্যে কোড নির্বাহ করা এবং বৃহত্তর অপারেটিং-সিস্টেম অ্যাক্সেস সহ কোড নির্বাহ করা ভিন্ন ফলাফল। একটি নিরাপত্তা সীমানা অতিক্রম করার জন্য একজন আক্রমণকারীর আরেকটি দুর্বলতার প্রয়োজন হতে পারে।

পর্যালোচনা করা প্রকাশে কোন পাবলিক নিশ্চিতকরণ নেই যে CVE-2026-125350 একটি স্যান্ডবক্স এস্কেপ অন্তর্ভুক্ত। সমানভাবে, স্যান্ডবক্সিংয়ের উপস্থিতি প্রতিকারে দেরি করার কারণ নয়: ব্রাউজার বিচ্ছিন্নতা ঝুঁকি হ্রাস করে, কিন্তু সক্রিয়ভাবে শোষিত দুর্বলতার এখনও তাত্ক্ষণিক মনোযোগ প্রয়োজন।

গুগল নিম্নলিখিত প্যাচযুক্ত ডেস্কটপ রিলিজ ঘোষণা করেছে:

রিলিজটি Chrome এর স্থিতিশীল চ্যানেলের মাধ্যমে বিতরণ করা হচ্ছে, Google আগামী দিন এবং সপ্তাহগুলিতে একটি রোলআউট বর্ণনা করছে। এই ঘোষণায় চিহ্নিত ডেস্কটপ সংস্করণ; সংস্করণ নম্বরগুলি মোবাইল ব্রাউজার বা অন্যান্য ব্রাউজার বিক্রেতাদের পণ্যগুলিতে প্রয়োগ করা উচিত নয়৷

সংস্থাগুলির জন্য, অপারেশনাল উদ্দেশ্য নিশ্চিত করা উচিত যে ডিভাইসগুলি একটি নির্দিষ্ট রিলিজ বা পরবর্তী সমর্থিত সংস্করণ চালাচ্ছে। শুধুমাত্র একটি আপডেট ডাউনলোড করা হয়েছে তা রেকর্ড করলে সক্রিয় ব্রাউজার সেশনটি প্যাচ করা এক্সিকিউটেবলে স্যুইচ হয়েছে তা প্রতিষ্ঠিত করে না।

ব্যয়বহুল ঘটনা ঘটার আগে নিরাপত্তা ফাঁক বন্ধ করুন। আপনার SOC কে শনাক্ত করতে এবং আগে প্রতিক্রিয়া জানাতে হুমকির দৃশ্যমানতা দিন👇🏻

যদিও শোষিত XML দুর্বলতা তাত্ক্ষণিক অগ্রাধিকার, আপডেটটি বিভিন্ন ব্রাউজার উপাদানগুলির দুর্বলতাগুলিকেও সমাধান করে।

পাশাপাশি CVE-2026-125350Google WebGL, FileSystem, Compositing, GPU, V8 এবং XML কে প্রভাবিত করে এমন উচ্চ-তীব্রতার সমস্যাগুলি তালিকাভুক্ত করে৷ দুটি অতিরিক্ত GPU সমস্যা মাঝারি-তীব্রতার রেটিং বহন করে।

অন্যান্য XML ত্রুটি, CVE-2026-125346এছাড়াও একটি ব্যবহারের পরে-মুক্ত দুর্বলতা হিসাবে শ্রেণীবদ্ধ করা হয়। গুগলের শোষণের স্বীকৃতি বিশেষভাবে নাম CVE-2026-125350; এটি দ্বিতীয় XML সমস্যাটিকে সক্রিয়ভাবে শোষিত হিসাবে চিহ্নিত করে না।

রিলিজের প্রস্থ সম্পূর্ণ ব্রাউজার আপডেট স্থাপনের মানকে শক্তিশালী করে। পৃথকভাবে ব্রাউজার উপাদানগুলিকে সম্বোধন করার চেষ্টা করার পরিবর্তে সমর্থিত স্থির বিল্ডে প্রতিকারের ফোকাস করা উচিত।

সাম্প্রতিক প্রকাশটি একাধিক উপাদানে বিস্তৃত শোষিত Chrome দুর্বলতার একটি ক্রম অনুসরণ করে।

• CVE-2026-2441 ফেব্রুয়ারিতে
• CVE-2026-3909 এবং CVE-2026-3910 মার্চ মাসে
• CVE-2026-5281 এপ্রিল মাসে
• CVE-2026-11645 জুন মাসে
• CVE-2026-85046 এবং CVE-2026-87491 সেপ্টেম্বরে

নভেম্বরের XML দুর্বলতা রিপোর্ট করা মোট আটটি নিয়ে আসে।

চিত্রটি এমন দুর্বলতাগুলি বর্ণনা করে যা শোষিত হয়েছে এবং পরবর্তীতে প্যাচ করা হয়েছে বলে পরিচিত৷ এটি আক্রমণ প্রচারণা, আপোসকৃত সংস্থা বা প্রভাবিত ব্যবহারকারীদের গণনা নয়।

এন্টারপ্রাইজ ডিফেন্ডারদের জন্য, পুনরাবৃত্ত প্রকাশগুলি ব্রাউজার রক্ষণাবেক্ষণকে একটি চলমান নিরাপত্তা দায়িত্ব হিসাবে বিবেচনা করা সমর্থন করে। একটি ব্রাউজার আপডেট প্রক্রিয়া যা রুটিন অপারেশনের সময় কাজ করে যখন শোষণ নিশ্চিত করা হয় তখন দ্রুত প্রতিক্রিয়া জানাতে সক্ষম হতে হবে।

গুগল এর অফিসিয়াল আপডেট নির্দেশাবলী সরাসরি ডেস্কটপ ব্যবহারকারীরা Chrome-এর তিন-বিন্দু মেনু খুলতে, নির্বাচন করুন সাহায্যতারপর গুগল ক্রোম সম্পর্কে. এই পৃষ্ঠাটি ইনস্টল করা সংস্করণ প্রদর্শন করে এবং উপলব্ধ আপডেটগুলি পরীক্ষা করে।

ব্যবহারকারীদের আপডেট সম্পূর্ণ করতে এবং নির্বাচন করার অনুমতি দেওয়া উচিত পুনরায় চালু করুন যখন অনুরোধ করা হয়। পুনরায় চালু করার পরে, চলমান সংস্করণ যাচাই করতে তাদের একই পৃষ্ঠায় ফিরে আসা উচিত।

গুগল নোট করে যে লিনাক্স ব্যবহারকারীদের তাদের প্যাকেজ ম্যানেজারের মাধ্যমে ক্রোম আপডেট করা উচিত। এর নির্দেশিকা আরও ব্যাখ্যা করে যে আপডেটগুলি সাধারণত কার্যকর হয় যখন ব্রাউজারটি বন্ধ হয়ে যায় এবং পুনরায় খোলে, দীর্ঘকাল ধরে চলমান ব্রাউজার সেশনগুলি প্রতিকার সম্পূর্ণ করার জন্য একটি সম্ভাব্য বাধা হয়ে দাঁড়ায়।

পরিচালিত পরিবেশের জন্য, প্রস্তাবিত প্রতিক্রিয়া হল স্থাপনাকে ত্বরান্বিত করা, সমাপ্তি যাচাই করা এবং ব্যতিক্রমগুলি তদন্ত করা।

নিরাপত্তা এবং আইটি দলগুলিকে পুরানো ইনস্টলেশনগুলি সনাক্ত করা উচিত, আপডেটের বিধিনিষেধগুলি স্থাপনে বিলম্ব করছে কিনা তা পরীক্ষা করা এবং ব্রাউজারটি একটি উপযুক্ত সংক্ষিপ্ত উইন্ডোর মধ্যে পুনরায় চালু হওয়া নিশ্চিত করা উচিত। যে ডিভাইসগুলি অফলাইনে থাকে, আপডেট ব্যর্থ হয় বা সমর্থিত রিলিজ চালাতে পারে না সেগুলিকে কমপ্লায়েন্স রিপোর্টিং থেকে অদৃশ্য হওয়ার পরিবর্তে স্পষ্টভাবে ট্র্যাক করা উচিত।

Google এই উদ্দেশ্যে প্রশাসনিক নিয়ন্ত্রণ প্রদান করে। এর Chrome এন্টারপ্রাইজ নির্দেশিকা প্রস্তাবিত পুনঃলঞ্চ বিজ্ঞপ্তিগুলির মধ্যে পার্থক্য করে, যা ব্যবহারকারীরা স্থগিত করতে পারে এবং একটি কনফিগার করা বিজ্ঞপ্তি সময়কাল দ্বারা নিয়ন্ত্রিত প্রয়োজনীয় পুনঃলঞ্চগুলির মধ্যে পার্থক্য করে৷ অ্যাডমিনিস্ট্রেটররা আপডেটের প্রাপ্যতা এবং প্রকৃত সুরক্ষার মধ্যে ব্যবধান কমাতে এই নিয়ন্ত্রণগুলি ব্যবহার করতে পারেন।

একটি বুদ্ধিমান যাচাইকরণ প্রক্রিয়াটি পুনরায় চালু করার পরে চলমান সংস্করণটি পরিমাপ করা উচিত। এটি ঘটনার প্রতিক্রিয়া থেকে প্যাচিংকে আলাদা করা উচিত: আপডেট করা দুর্বল কোড পথ বন্ধ করে দেয়, যখন সন্দেহজনক ব্রাউজার বা এন্ডপয়েন্ট কার্যকলাপের প্রমাণ একটি পৃথক তদন্তের প্রয়োজন হতে পারে।

অন্যান্য Chromium-ভিত্তিক পণ্যের ব্যবহারকারীদের জন্য, উপযুক্ত পরবর্তী পদক্ষেপ হল প্রাসঙ্গিক বিক্রেতার নিরাপত্তা বিজ্ঞপ্তি এবং উপলব্ধ আপডেটগুলি পর্যালোচনা করা৷ শুধুমাত্র Chrome-এর রিলিজ সংখ্যা অন্য পণ্য প্রভাবিত বা স্থির কিনা তা নির্ধারণ করতে পারে না।

অবিলম্বে অগ্রাধিকারটি পরিষ্কার: নিরাপত্তা আপডেট ইনস্টল করুন, Chrome পুনরায় চালু করুন এবং প্যাচ করা সংস্করণটি সক্রিয় আছে তা নিশ্চিত করুন৷ আরও প্রকাশ আক্রমণগুলিকে স্পষ্ট করতে পারে, তবে প্রতিকার শুরু করার জন্য অতিরিক্ত বিবরণের প্রয়োজন নেই।