Самый безопасный браузер 2026? Chrome, Edge, Opera, Brave, Firefox и Safari в цифрах — три движка, 15 zero-day

На рабочем столе у вас иконки шести браузеров. Chrome, Edge, Opera, Brave, Firefox, Safari. Выбор как в супермаркете. Проблема в том, что под капотом всего три движка — и именно они, а не логотип, решают, захватит ли кто-то ваш ноутбук после клика по ссылке. 💥

В этом году Google уже исправил семь уязвимостей в Chrome, которые активно использовались в атаках ещё до того, как кто-либо их закрыл. Каждая из них была и в Edge, и в Opera, и в Brave, потому что это один и тот же код. Так что вопрос звучит не «какой браузер самый безопасный», а «какой движок, как быстро его патчат и кто». Я посчитал это на цифрах за 2025 и 2026 год.

Три движка, или почему «выбор браузера» — во многом иллюзия

Движок браузера — это та часть, которая читает HTML, выполняет JavaScript и отрисовывает страницу. По-простому: именно ему в руки попадает код с незнакомого вам сайта, и он должен запустить его так, чтобы с вами ничего не случилось. Все известные мне эксплойты для браузеров целятся именно туда.

И вот сюрприз для нетехнических читателей: движков всего три. Всё остальное — это оболочка, настройки приватности и адресная строка.

Что это значит на практике? Что когда Google объявляет «эксплойт для CVE-2026-xxxxx существует в дикой природе», та же самая дыра есть у восьми из десяти пользователей интернета. Не только в Chrome. В Edge, в Opera, в Brave, в Samsung Internet на телефоне вашей мамы и в каждом десктопном приложении на Electron (Slack, Teams, Discord, VS Code).

На iPhone ещё интереснее: «Chrome для iOS» — это на самом деле WebKit с логотипом Chrome, потому что Apple до 2024 г. не допускал другие движки, а после изменений, которые ЕС навязал через DMA, никто так и не выпустил там свой. То есть iPhone = WebKit, точка.

Урок № 1: сравнивать «Opera с Brave» по эксплойтам — это как сравнивать два цвета краски на одной и той же машине. Реальный вопрос звучит так: как быстро производитель доставляет вам патчи из Chromium и что добавляет от себя.

Zero-day, или что атакуют на самом деле

Zero-day — это уязвимость, которую преступники используют до того, как производитель выпустит патч. Для браузера это худший сценарий: вы заходите на сайт, а кто-то выполняет код на вашем компьютере. Без нажатия «скачать», без «запустить».

Google Threat Intelligence Group в своём ежегодном отчёте «Look What You Made Us Patch» насчитала 90 zero-day, использованных в 2025 г. (78 в 2024 г., рекордные 100 в 2023 г.). И вот важная новость: на браузеры пришлось только 8 из них, меньше 10% — тренд на снижение третий год подряд. Атакующие переключились на операционные системы (39 zero-day), пограничные устройства и appliance (48% от всех, рекорд). Впервые больше zero-day приписали коммерческим производителям шпионского ПО (CSV), чем государственным шпионским группировкам.

А теперь — как это выглядит у отдельных движков.

Chrome: 15 zero-day за 21 месяц

Восемь в 2025 г. и семь к 9 сентября 2026 г. Почти все в одном и том же месте: V8, то есть движок JavaScript (type confusion, out-of-bounds, use-after-free), плюс графика (Skia, ANGLE, Dawn/WebGPU) и два побега из песочницы. Большинство нашла Google Threat Analysis Group, которая следит за производителями шпионского ПО. Первый zero-day 2025 г. (CVE-2025-2783) сообщил Kaspersky — его использовали в шпионской операции «ForumTroll» против российских СМИ и вузов, а атака начиналась с одного клика по ссылке из письма.

Значит ли это, что Chrome дырявый как решето? Нет. Это значит, что он самая большая мишень в мире и одновременно у него больше всего людей, которые эти атаки обнаруживают. Если бы 79% рынка было у Firefox, те же команды находили бы их в SpiderMonkey. Но для вас как пользователя Chromium это означает одно: обновляться нужно каждую неделю, потому что атакующие не ждут.

Safari и WebKit: мало, зато «чрезвычайно изощрённые»

Apple использует одну формулировку: «может быть использовано в чрезвычайно изощрённой атаке на конкретных людей». Это кодовое обозначение коммерческого шпионского ПО вроде Pegasus или Graphite. В 2025 г. таких патчей для WebKit было три, в декабре сразу два — причём CVE-2025-14174 это та же самая ошибка, которую Google за два дня до этого закрыл в Chrome (в общей библиотеке ANGLE). Март 2026 г. принёс эксплойт-кит «DarkSword», описанный одновременно iVerify, Lookout и Google TIG, а августовское обновление Safari 26.6.1 закрыло 21 дыру в одном только WebKit.

Вывод: пользователь Safari реже попадает в статистику, но если уж попадает, то как цель государственного или наёмного шпиона. Для обычной компании риск низкий, для юриста, журналиста или совета директоров — другой. Поэтому у Apple есть Lockdown Mode — режим, который отключает куски WebKit в обмен на безопасность.

Firefox: реже всех атакуют — не значит не атакуют

SecurityWeek подсчитал, что за последнее десятилетие в атаках использовали около дюжины дыр в Firefox. В марте 2025 г. Mozilla через два дня после Google закрыла CVE-2025-2857 — идентичный паттерн ошибки в коде IPC, который в Chrome как раз эксплуатировался (Mozilla не подтвердила атак на Firefox). В мае 2025 г. на Pwn2Own Berlin двое исследователей взломали Firefox (рендерер, без побега из песочницы) — Mozilla выпустила исправление в тот же день. В июле 2026 г. появились две ошибки (CVE-2026-15718/15719) с публичным эксплойтом, но без атак в дикой природе.

Маленькая доля рынка тут, как ни парадоксально, плюс: никто не вкладывается в эксплойт на 3% рынка, если тот же бюджет может дать 79%. Исключение — Tor Browser (построенный на Firefox): там эксплойты появляются, потому что цель конкретная.

Урок № 2: количество zero-day измеряет привлекательность цели и бдительность защитников, а не качество кода. Но то, что ваш движок — цель номер один, это факт, с которым придётся жить, и из него вытекает всё остальное в этом тексте.

CVE: цифры, которые почти все читают наоборот

На форумах каждый год всплывает «рейтинг самых дырявых браузеров», составленный простым методом: посчитать CVE. Давайте так и сделаем, а потом я покажу, почему в 2026 г. этот метод окончательно умер.

Chrome 149 и 150 вместе закрыли 1072 уязвимости — больше, чем 23 предыдущих релиза вместе взятые. С апреля 2026 г. Google выпустил более 1400 исправлений. Что произошло? Google натравил на собственный код ИИ-агентов (Big Sleep от DeepMind и Project Zero, CodeMender), которые каждые сутки прочёсывают каждое изменение. Результат: к марту 2026 г. Google получил больше репортов, чем за весь 2025 г., в апреле снизил ставки bug bounty за простые баги, а теперь тестирует два обновления безопасности в неделю, потому что еженедельный цикл уже не успевает.

А теперь вопрос к любителям считать CVE: стал ли Chrome в 2026 г. в шесть раз менее безопасным, чем в 2025 г.? Конечно, нет. Его стали в шесть раз тщательнее проверять. Количество CVE измеряет интенсивность поиска, а не количество дыр. Firefox со 187 CVE не «почти такой же дырявый, как Chrome» — у него просто честный, публичный процесс репортинга. А Safari с несколькими десятками CVE не в три раза лучше — Apple просто говорит меньше и позже.

Зато есть одна цифра, которая годами не меняется и действительно о чём-то говорит: около 70% серьёзных ошибок в Chromium — это ошибки безопасности памяти (use-after-free, переполнения буфера), то есть классические промахи в C++. GTIG подсчитала, что в 2025 г. 35% всех использованных zero-day относились именно к этой категории. Поэтому вся тройка инвестирует в одно и то же: Firefox годами затягивает в себя Rust, у Chrome есть MiraclePtr (превращает use-after-free в обычный крэш), V8 Sandbox, а в 2026 г. он перевёл декодер PNG на Rust, Apple же в iPhone 17 внедрил аппаратную Memory Integrity Enforcement.

Урок № 3: если вам продают браузер под лозунгом «у нас меньше всего CVE», спросите, сколько людей эти CVE ищет. Тишина в базе NVD чаще означает отсутствие аудита, чем отсутствие ошибок.

Как быстро патчат — единственная метрика, которую я повесил бы на стену

Zero-day — это проблема производителя. Но с момента публикации патча ошибка становится n-day, то есть дырой, о которой уже знает весь мир, а у вас она ещё не закрыта. Chromium — open source: в момент, когда исправление попадает в репозиторий, любой может его реверснуть и написать эксплойт. Поэтому скорость решает всё.

Лучшие жёсткие данные дал Project Zero в анализе 2022 г. (репорты за 2019-2021 гг.): Chrome требовалось в среднем 30 дней от репорта до выпуска исправления, Firefox 38, WebKit 73. Интереснее было то, что внутри: у Chrome патч был готов в коде уже примерно через 5 дней, а потом большую часть этих 30 дней ждал релиза. Google сделал выводы — с августа 2023 г. (Chrome 116) обновления безопасности выходят каждую неделю, что сократило «patch gap» примерно с 15 дней ещё на 3,5 дня. В 2026 г., как я писал выше, пилотируются два в неделю.

На пентестах я вижу это так: сканирую сеть клиента, вытаскиваю версии браузеров из заголовков User-Agent и почти всегда нахожу две-три машины с браузером многомесячной давности, потому что «кто-то не перезагружался с отпуска». В семействе Chromium каждая такая машина несёт на борту все zero-day этого года. Мне тогда не нужен эксплойт за миллион — достаточно подождать, пока кто-нибудь кликнет.

Урок № 4: в компании вы не выбираете «безопасный браузер». Вы выбираете тот, который умеете принудительно держать в актуальной версии политиками (GPO/Intune/MDM) на всех машинах. Для бизнеса это сводится к Chrome или Edge с политикой автообновлений и принудительным перезапуском, либо к Firefox ESR.

Сколько людей в команде безопасности? Никто не скажет, но кошелёк говорит

Я искал актуальные цифры и скажу честно: ни один из трёх производителей не публикует численность команды безопасности браузера. Последние публичные данные старые (Chrome говорил примерно о 20 инженерах в 2013 г., Mozilla — примерно о 80 людях вместе с волонтёрами в 2008 г.) и сегодня ничего не значат. Зато есть три косвенных показателя, которые кое-что говорят: сколько платят исследователям, кто находит их баги и что происходило с людьми.

Про Opera добавлю то, что всегда повторяю клиентам: её задержки с патчами — это техническая проблема, которую можно посчитать в днях. А вот то, что браузер со встроенным «VPN» (на практике прокси) на две трети принадлежит компании из Пекина, — это вопрос, который должен задать отдел compliance, а не пентестер. Opera утверждает, что владелец не имеет доступа к данным пользователей. У меня нет возможности это проверить — и в этом весь ответ.

Урок № 5: безопасность движка покупается деньгами и открытостью. У Google больше всего первого, у Mozilla — второго, у Apple есть деньги и молчание. У производителей на Chromium нет движка — у них есть часы.

Где на самом деле теряются деньги: расширения и инфостилеры

А теперь холодный душ для всех, кто дочитал до этого места, чтобы выбрать «самый безопасный движок». В моих проектах эксплойт для браузера я вижу редко. Что я встречаю постоянно:

• Инфостилеры, то есть малварь, которая просто читает сохранённые в браузере пароли, куки и сессии. Flashpoint подсчитал, что в первой половине 2025 г. они украли 1,8 млрд логинов с 5,8 млн устройств, а за весь 2025 г. заразили более 11 млн устройств. Verizon в отчёте DBIR 2025 показал, что у 54% жертв ransomware их домены ранее светились в логах инфостилеров. Инфостилеру не нужен zero-day. Ему нужно, чтобы вы установили «кряк для Photoshop».
• Вредоносные расширения. В июле 2025 г. Koi Security нашла 18 расширений в магазинах Chrome и Edge (цвета, VPN, эмодзи, «dark mode»), установленных 2,3 млн раз, которые втихую получили вредоносное обновление. За полгода до этого фишинг на разработчиков расширений скомпрометировал несколько десятков расширений у примерно 2,6 млн пользователей. Движок тут ни при чём: у расширения есть официальные права читать любую страницу.
• Фишинг и ClickFix, то есть страница, которая просит вставить что-то в терминал. Работает одинаково в Safari, Chrome и Firefox, потому что атакует человека.

Урок № 6: выбор движка решает, захватит ли кто-то ваш компьютер без вашей помощи. А то, захватит ли он его с вашей помощью, решают политики: запрет хранить пароли в браузере (менеджер паролей), белый список расширений и MFA, которую нельзя украсть из куки.

Семь законов безопасности браузеров (версия 2026)

1. Вы выбираете не браузер, а движок и часы. Blink, WebKit или Gecko — и кто доставляет вам патчи.
2. Браузер месячной давности — это браузер с полным комплектом zero-day этого года. Автообновления плюс принудительный перезапуск — обязанность, а не опция.
3. Количество CVE измеряет аудит, а не дырявость. 429 патчей в Chrome 149 — это хорошая новость.
4. Zero-day в Chrome — это zero-day в Edge, Opera, Brave и Teams. Проверьте, когда ваш производитель его закрыл.
5. Если вы цель шпионского ПО, используйте усиленный режим (Lockdown Mode в Safari, Enhanced Protection в Chrome, Edge с отключённым JIT) и будьте готовы, что сайты могут работать хуже.
6. Расширения — это код с правами на всё. В компании: белый список или ничего.
7. Пароли в браузере — подарок для инфостилера. Менеджер паролей и устойчивая к фишингу MFA (ключи/passkeys), потому что их не вынести в логе.

Итог: что выбрал бы я

Как пентестер, а не фанат какого-либо логотипа:

• Компания, управляемые машины: Chrome или Edge с политиками обновлений — лучше всего изученный движок, самые быстрые патчи, больше всего инструментов управления. Firefox ESR, если вам важен второй движок в организации.
• Приватность и «меньшая мишень»: Firefox — с полным пониманием, что на некоторых платформах его песочница менее зрелая, чем у Chromium, и что у Mozilla доля бюджета Google. Brave, если хотите блокировку трекинга на движке Chromium.
• Экосистема Apple: Safari, потому что другого движка на iPhone у вас всё равно нет. Для людей высокого риска: Lockdown Mode.
• Чего избегать: браузеров, которые опаздывают с патчами Chromium, всего, у чего закончилась поддержка, и любого браузера, в котором вы храните пароли без MFA.

Главное: не существует рейтинга «самый безопасный браузер 2026», который прожил бы неделю. Есть ритм: движок, патчи, политики, люди. Если хотите проверить, как этот ритм выглядит у вас — от версий браузеров на машинах до того, не гуляют ли уже логины ваших сотрудников в логах инфостилеров, — это ровно то, что я проверяю в рамках тестов безопасности. Стоимость можно посчитать самостоятельно в калькуляторе. ✔️

Источники

• StatCounter Global Stats — Browser Market Share (август/сентябрь 2026)
• Google Threat Intelligence Group — Look What You Made Us Patch: 2025 Zero-Days in Review
• BleepingComputer — Google patches seventh Chrome zero-day exploited in attacks this year (сен. 2026)
• BleepingComputer — Google says AI helped Chrome fix 1,072 security bugs in two releases
• SecurityWeek — Chrome 149 Patches 429 Vulnerabilities
• Project Zero — A walk through Project Zero metrics
• Google Security Blog — An update on Chrome Security Updates (weekly)
• Chromium Projects — Memory safety
• SecurityWeek — Google Paid Out $17 Million in Bug Bounty Rewards in 2025
• Security Affairs — Apple doubles maximum bug bounty to $2M
• The Hacker News — Apple Issues Security Updates After Two WebKit Flaws Found Exploited in the Wild
• TechRepublic — Apple’s 2026 Security Events (DarkSword, Background Security Improvements)
• Mozilla Security Blog — Firefox Security Response to pwn2own 2025
• SecurityWeek — Firefox Affected by Flaw Similar to Chrome Zero-Day Exploited in Russia
• Mozilla — Bug Bounty Hall of Fame
• ZDI — Pwn2Own Berlin 2025: Day Three Results
• ZDI — Pwn2Own Berlin 2026: Day Two Results
• Intego — 2nd Chrome zero-day patched in 5 days (задержки Opera)
• Cyber Security News — Microsoft Edge Fixes Actively Exploited Chromium Vulnerability (CVE-2025-6554)
• stack.watch — Chrome, Firefox, Safari — количество CVE по годам (NVD)
• SecurityWeek — Infostealers Turn Millions of Devices Into Credential Theft Machines (Flashpoint)
• BleepingComputer — Malicious Chrome extensions with 1.7M installs found on Web Store (Koi Security)
• Wikipedia — Opera (company) и SEC Schedule 13D/A, Opera Ltd (2026)