# Google załatał w Chrome ósmą w tym roku podatność zero-day wykorzystywaną w atakach

Google wydał aktualizacje Chrome naprawiające dziewięć podatności, w tym CVE-2026-125350 w komponencie XML, dla której istnieje exploit używany w atakach. To według SecurityWeek ósma wykorzystywana podatność zero-day w Chrome w 2026 r.

- Adres: <https://pelnomocnikcyber.pl/aktualnosci/chrome-zero-day-xml-osma-luka/>
- Rodzaj: Streszczenie
- Data publikacji: 10.11.2026
- Kategoria: [Aktualności](https://pelnomocnikcyber.pl/kategorie/aktualnosci/)
- Redakcja: [Paweł Rosół](https://pelnomocnikcyber.pl/autor/pawel-rosol/)
- Źródło: [BleepingComputer](https://www.bleepingcomputer.com/news/security/google-patches-eighth-chrome-zero-day-exploited-in-attacks-this-year/) (10 listopada 2026)
- Licencja: [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.pl)

Google wydał w poniedziałek 9 listopada 2026 r. aktualizacje Chrome, które naprawiają dziewięć podatności. Jedna z nich, CVE-2026-125350, to błąd typu use-after-free w komponencie XML, oceniony jako podatność o wysokiej wadze. Google poinformował, że istnieje exploit wykorzystywany w atakach. SecurityWeek liczy ją jako ósmą wykorzystywaną podatność zero-day w Chrome w 2026 r.

Poprawka jest w wersjach Chrome 157: **157.0.8103.50 lub 157.0.8103.51** dla Windows i macOS oraz 157.0.8103.50 dla Linuksa. WindowsForum zwraca uwagę na kanał Extended Stable: tam poprawioną wersją jest 156.0.8078.96 dla Windows i macOS. Jeśli w organizacji działa ten kanał, samo sprawdzenie numeru głównego 157 nie da pełnej odpowiedzi.

Szczegółów ataków nie znamy. Według SecurityWeek Google ich nie opublikował, a zgłosił je anonimowy badacz 6 listopada. SecurityWeek podaje też, że CISA nie dodała jeszcze tej podatności do katalogu Known Exploited Vulnerabilities. Google zastrzega, że szczegóły błędu mogą pozostać ograniczone, dopóki większość użytkowników nie zainstaluje poprawki. Wdrożenie aktualizacji u wszystkich użytkowników może według Google potrwać dni lub tygodnie, ale BleepingComputer znalazł ją dostępną od razu przy sprawdzeniu 10 listopada.

Jeśli używasz Chrome w urzędzie lub firmie, zleć działowi IT sprawdzenie pełnych numerów wersji na stanowiskach, osobno dla Stable i Extended Stable. Chrome instaluje pobraną aktualizację dopiero po ponownym uruchomieniu, więc sama obecność poprawki na komputerze nie wystarcza. WindowsForum przypomina, że zachowaniem tym steruje polityka `RelaunchNotification`, a domyślny okres powiadomień wynosi siedem dni (`RelaunchNotificationPeriod`).

## Źródła

- [BleepingComputer: Google patches eighth Chrome zero-day exploited in attacks this year](https://www.bleepingcomputer.com/news/security/google-patches-eighth-chrome-zero-day-exploited-in-attacks-this-year/)
- [The Hacker News: Google Issues Chrome Security Update for Eighth Actively Exploited Zero-Day of 2026](https://thehackernews.com/2026/11/google-issues-chrome-security-update.html)
- [SecurityWeek: Chrome Update Patches Exploited XML Zero-Day, Eighth This Year](https://www.securityweek.com/chrome-update-patches-exploited-xml-zero-day-eighth-this-year/)
- [WindowsForum: Chrome CVE-2026-125350: Update Stable and Extended Stable to Fix Exploited XML Zero-Day](https://windowsforum.com/news/chrome-cve-2026-125350-update-stable-and-extended-stable-to-fix-exploited-xml-zero-day.451627/)

## Pojęcia w tym tekście

- [Podatność](https://pelnomocnikcyber.pl/slownik/podatnosc/): Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
- [Use-after-free](https://pelnomocnikcyber.pl/slownik/use-after-free/): Błąd zarządzania pamięcią: program odwołuje się do miejsca w pamięci po jego zwolnieniu.
- [Exploit](https://pelnomocnikcyber.pl/slownik/exploit/): Program, dane lub polecenia, które wykorzystują podatność w oprogramowaniu, żeby obejść zabezpieczenia systemu. Często jest pierwszym etapem szerszego ataku.
- [Zero-day](https://pelnomocnikcyber.pl/slownik/zero-day/): Podatność wykorzystywana przez napastników, zanim producent ją ujawnił i udostępnił poprawkę.
- [CISA](https://pelnomocnikcyber.pl/slownik/cisa/): Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.

## Jak powstała ta wiadomość

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 10 listopada 2026; tekst sprawdził i zatwierdził autor przed publikacją.