Обновление ChromeOS 151: критические патчи безопасности и отказ от Kiosk-приложений

Развёртывание milestone (16733.48.0 / Browser 151.0.7922.141) идёт на Stable channel для парка Chromebook и ChromeOS Flex. Внутри — Kiosk sunset, ужесточение admin policy, hardware cutoffs для Flex и Gemini-driven attack surface: серия изменений, каждое из которых меняет архитектурное решение на уровне fleet.

Security surface

18 закрытий по CVE-трекеру покрывают core-подсистемы платформы. Release notes дополнительно фиксируют под-капотные stability improvements — критично для long-running session workloads. Для enterprise с SLA на patch-window обновление обязательно к немедленному развёртыванию. Совмещение с Gemini в Chrome-браузере расширяет attack surface: AI-assisted browsing становится новым zero-day вектором, mitigation обозначен приоритетом в release notes.

Альтернатива — заморозка обновления — повышает breach-cost через рост накопленных CVE и расширение окна эксплуатации. Оптимальный стек: непрерывный OTA rollout с валидацией по группам устройств и canary-каналу.

Дополнительно: мелкая UI-поправка для top bar (минимализация workspace) снижает browser distraction surface, на архитектуру стека не влияет.

Enterprise policy shift

Legacy packaged Chrome Apps для Kiosk сценариев прекращают работу. Vendor lock-in на kiosk-приложения в ритейле, логистике, складах переходит в категорию критического риска. Варианты migration path:

• PWA с offline-first кэшем;
• Web App внутри Android-контейнера;
• полный hardware refresh стека.

Все три сценария требуют аудита и архитектурного комитета до конца support-цикла текущей версии ChromeOS.

ChromeOS 151 ужесточает admin rules в private windows. Fleet managers обязаны пересмотреть policy-deployment pipeline — часть legacy-правил, работавших в permissive-режиме, требует переконфигурации.

Hardware matrix и deployment

ChromeOS Flex на конвертированных PC/Mac получает строгие hardware compatibility cutoffs. Цель — устранение графических артефактов и system freezes на legacy-железе. Последствия для инфраструктуры:

• часть устройств выпадает из support matrix;
• TCO Flex-парка требует пересчёта;
• инвентаризация — prerequisite любого масштабирования.

Lenovo Chromebook Plus 14 исключён из текущего rollout, причина не раскрыта. Устройство исключается из critical deployment paths до выхода patch-release.

Порядок действий:

• Развернуть 151 на validated устройствах в текущем цикле.
• Исключить Lenovo Chromebook Plus 14 из production-ротации до стабилизации.
• Запустить аудит kiosk-инфраструктуры и подготовить migration plan на PWA.
• Пересмотреть hardware inventory под Flex cutoffs, зафиксировать end-of-support даты.
• Включить OS-уровень в CI/CD pipeline и пересмотреть patch-window SLA.
• Проверить admin policy matrix на совместимость с tightened rules в private windows.
• Зафиксировать новый Gemini attack surface в threat model.