Специалисты Google по ошибке опубликовали в открытом доступе эксплоит для критической уязвимости в движке Chromium, которую не могли исправить почти четыре года. Проблема позволяет злоумышленникам удерживать выполнение JavaScript-кода в фоновом режиме даже после того, как пользователь закрыл браузер или перезагрузил устройство.

Уязвимость затрагивает не только сам Google Chrome, но и все популярные браузеры на базе Chromium: Microsoft Edge, Brave, Opera, Vivaldi и Arc. По данным источника, баг связан с некорректной обработкой Service Workers — технологии, которая отвечает за офлайн-режим и фоновую синхронизацию.

Эксплоит оказался в публичном доступе после того, как инженеры Google случайно включили его в открытый репозиторий с тестовыми сценариями. Разработчики уже удалили файл, но за время его нахождения в сети код могли скопировать заинтересованные лица.

Исправление для этой уязвимости до сих пор не выпущено, так как патч требует глубоких изменений в архитектуре Service Workers. Пользователям рекомендуется временно отключить эту функцию в настройках браузера до выхода официального обновления.