Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-125350 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-10 |
| Producent | |
| Produkt | Chromium |
| Typ podatności | use-after-free (CWE-416) |
| CVSS Score | 8.8 (Wysoki) |
| EPSS Score | Brak danych |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-11-24 |
Opis podatności
Źródło: NVD, CISA KEV, Google
Google Chromium zawiera podatność typu use-after-free w komponencie XML, która pozwala zdalnemu atakującemu wykonać dowolny kod wewnątrz piaskownicy (sandbox) przeglądarki za pomocą specjalnie spreparowanej strony internetowej. Luka dotyczy przeglądarek opartych na Chromium, m.in. Google Chrome, Microsoft Edge i Opery. Według NVD poprawka jest w Google Chrome 157.0.8103.50.
CISA dodała lukę do katalogu KEV, potwierdzając jej aktywne wykorzystanie, i wyznaczyła agencjom federalnym USA termin reakcji do 24 listopada 2026 r. Kod wykonany w piaskownicy zwykle jest pierwszym ogniwem łańcucha — atakujący łączą go z drugą luką, która pozwala z piaskownicy wyjść.
Wymagane działania
- Zaktualizuj Google Chrome do wersji 157.0.8103.50 lub nowszej i wymuś restart przeglądarki (aktualizacja działa dopiero po ponownym uruchomieniu).
- Zaktualizuj pozostałe przeglądarki oparte na Chromium (Microsoft Edge, Opera, Brave) do wersji z poprawką, gdy tylko producenci ją wydadzą.
- Sprawdź w konsoli zarządzania (Intune, GPO, Chrome Enterprise) wersje przeglądarek na stacjach — także na serwerach i maszynach VDI.
Kogo dotyczy?
Podatność dotyczy przeglądarek opartych na Chromium — Google Chrome, Microsoft Edge, Opery i innych — na wszystkich systemach. W praktyce obejmuje niemal każdą stację roboczą w organizacji.
Źródła
- NVD - CVE-2026-125350
- Chrome Releases - Stable Channel Update for Desktop
- CISA KEV Catalog
- FIRST EPSS
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-125350?
CVE-2026-125350 to podatność use-after-free (CWE-416) w komponencie XML silnika Chromium, pozwalająca wykonać kod w piaskownicy przeglądarki. Ocena CVSS: 8.8; luka jest w katalogu CISA KEV.
Czy do wykorzystania CVE-2026-125350 potrzebne jest uwierzytelnienie?
Nie. Wystarczy, że użytkownik otworzy spreparowaną stronę internetową.
Jak zabezpieczyć się przed CVE-2026-125350?
Zaktualizować Chrome do wersji 157.0.8103.50 lub nowszej, zrestartować przeglądarkę i zaktualizować inne przeglądarki oparte na Chromium. Termin CISA to 24 listopada 2026 r.
Kogo dotyczy CVE-2026-125350?
Użytkowników Google Chrome, Microsoft Edge, Opery i innych przeglądarek opartych na Chromium.
