Google załatał w Chrome ósmą w tym roku podatność zero-day wykorzystywaną w atakach
- Rodzaj
- Streszczenie
- Data
- Kategoria
- Aktualności
- Redakcja
- Paweł Rosół
- Źródło
- BleepingComputer ()
Google wydał aktualizacje Chrome naprawiające dziewięć podatności, w tym CVE-2026-125350 w komponencie XML, dla której istnieje exploit używany w atakach. To według SecurityWeek ósma wykorzystywana podatność zero-day w Chrome w 2026 r.
Google wydał w poniedziałek 9 listopada 2026 r. aktualizacje Chrome, które naprawiają dziewięć podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.. Jedna z nich, CVE-2026-125350, to błąd typu use-after-freeUse-after-free Błąd zarządzania pamięcią: program odwołuje się do miejsca w pamięci po jego zwolnieniu. w komponencie XML, oceniony jako podatność o wysokiej wadze. Google poinformował, że istnieje exploitExploit Program, dane lub polecenia, które wykorzystują podatność w oprogramowaniu, żeby obejść zabezpieczenia systemu. Często jest pierwszym etapem szerszego ataku. wykorzystywany w atakach. SecurityWeek liczy ją jako ósmą wykorzystywaną podatność zero-dayZero-day Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę. w Chrome w 2026 r.
Poprawka jest w wersjach Chrome 157: 157.0.8103.50 lub 157.0.8103.51 dla Windows i macOS oraz 157.0.8103.50 dla Linuksa. WindowsForum zwraca uwagę na kanał Extended Stable: tam poprawioną wersją jest 156.0.8078.96 dla Windows i macOS. Jeśli w organizacji działa ten kanał, samo sprawdzenie numeru głównego 157 nie da pełnej odpowiedzi.
Szczegółów ataków nie znamy. Według SecurityWeek Google ich nie opublikował, a zgłosił je anonimowy badacz 6 listopada. SecurityWeek podaje też, że CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. nie dodała jeszcze tej podatności do katalogu Known Exploited Vulnerabilities. Google zastrzega, że szczegóły błędu mogą pozostać ograniczone, dopóki większość użytkowników nie zainstaluje poprawki. Wdrożenie aktualizacji u wszystkich użytkowników może według Google potrwać dni lub tygodnie, ale BleepingComputer znalazł ją dostępną od razu przy sprawdzeniu 10 listopada.
Jeśli używasz Chrome w urzędzie lub firmie, zleć działowi IT sprawdzenie pełnych numerów wersji na stanowiskach, osobno dla Stable i Extended Stable. Chrome instaluje pobraną aktualizację dopiero po ponownym uruchomieniu, więc sama obecność poprawki na komputerze nie wystarcza. WindowsForum przypomina, że zachowaniem tym steruje polityka RelaunchNotification, a domyślny okres powiadomień wynosi siedem dni (RelaunchNotificationPeriod).
Źródła
- BleepingComputer: Google patches eighth Chrome zero-day exploited in attacks this year
- The Hacker News: Google Issues Chrome Security Update for Eighth Actively Exploited Zero-Day of 2026
- SecurityWeek: Chrome Update Patches Exploited XML Zero-Day, Eighth This Year
- WindowsForum: Chrome CVE-2026-125350: Update Stable and Extended Stable to Fix Exploited XML Zero-Day
Pojęcia w tym tekście (5)
- Podatność
- Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- Use-after-free
- Błąd zarządzania pamięcią: program odwołuje się do miejsca w pamięci po jego zwolnieniu.
- Exploit
- Program, dane lub polecenia, które wykorzystują podatność w oprogramowaniu, żeby obejść zabezpieczenia systemu. Często jest pierwszym etapem szerszego ataku.
- Zero-day
- Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę.
- CISA
- Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.