Google Chrome 153 usuwa lukę typu zero-day, która jest obecnie przedmiotem aktywnych ataków; wymagane jest ponowne uruchomienie przeglądarki

We wtorek firma Google wprowadziła przeglądarkę Chrome 153 do kanału stabilnego. Ta wersja zawiera 230 poprawek bezpieczeństwa, z których pięć firma Google oceniła jako krytyczne. Jednak jeden wiersz znajdujący się nieco niżej na stronie ma większe znaczenie niż jakakolwiek ocena poziomu zagrożenia. „Firma Google ma świadomość, że w środowisku internetowym występuje exploit wykorzystujący lukę CVE-2026-87491” – informuje firma.

CVE-2026-87491 to błąd polegający na zapisie poza granicami pamięci w silniku V8 – silniku JavaScript i WebAssembly, którego przeglądarka Chrome używa do wykonywania kodu na stronach internetowych. Zapis poza granicami pamięci pozwala programowi zapisywać dane poza przydzielonym mu obszarem pamięci i nadpisywać dane przechowywane w sąsiednich obszarach. Zgodnie z opisem wystarczy specjalnie spreparowana strona HTML, aby zdalny atakujący mógł wykonać kod wewnątrz piaskownicy. Jihyeon Jeong z Compsec Lab przy Uniwersytecie Narodowym w Seulu zgłosiła tę lukę 6 sierpnia i otrzymała nagrodę w wysokości 2 500 dolarów. Google ocenia ją jako średnią.

Dwie wykorzystane luki w tym samym silniku w odstępie pięciu dni

Jest to siódża aktywnie wykorzystywana luka typu zero-day w przeglądarce Chrome, którą firma Google załatała w 2026 r. Szóstą z nich firma Google naprawiła pięć dni temu. Była to luka CVE-2026-85046, polegająca na pomyleniu typów, również w silniku V8, w przypadku której również krążył kod wykorzystujący tę lukę.

Pięć luk o stopniu krytycznym dotyczy innych komponentów. Cztery z nich występują w WebGL – interfejsie odpowiedzialnym za renderowanie grafiki 3D w przeglądarce – i są oznaczone numerami CVE-2026-87464, CVE-2026-87488, CVE-2026-87438 oraz CVE-2026-87527. Piąta luka, oznaczona numerem CVE-2026-87628, dotyczy biblioteki Cast, która umożliwia przesyłanie treści z przeglądarki do telewizora. Warto zwrócić uwagę na samą listę autorów odkryć. Firma Google wymienia w niej zautomatyzowane systemy wykrywania błędów, takie jak Big Sleep, a jedno zgłoszenie pochodziło od zespołu OpenAI Codex Security.

Dlaczego poprawka jeszcze do Państwa nie dotarła

W tym samym poście firma Google informuje, że aktualizacja „będzie wdrażana w ciągu najbliższych dni/tygodni”. Aktualizacje przeglądarki Chrome są wprowadzane etapowo, a nie jednocześnie na wszystkich komputerach. Ta druga kwestia sprawia, że więcej urządzeń pozostaje narażonych na zagrożenie. Przeglądarka Chrome pobiera aktualizację w tle, ale nie uruchamia jej, dopóki nie zostanie całkowicie zamknięta i ponownie uruchomiona. Informację tę potwierdza dokumentacja administracyjna firmy Google, a domyślny okres, po upływie którego monit o ponowne uruchomienie staje się nalegający, wynosi jeden tydzień.

Każdy, kto pozostawia przeglądarkę otwartą przez wiele dni, z dziesiątkami kart i bez ponownego uruchamiania, nadal korzysta ze starej wersji. W takiej sytuacji komunikat „Chrome jest zaktualizowany” nie informuje, która wersja jest faktycznie uruchomiona.

Problem dotyczy również przeglądarek Edge, Brave, Opera i Vivaldi

Silnik V8 stanowi część projektu Chromium, na którym opiera się niemal każda z głównych przeglądarek z wyjątkiem Firefox i Safari. Przeglądarki Microsoft Edge, Brave, Opera i Vivaldi wprowadzają tę samą poprawkę pod własnymi numerami wersji i zgodnie z własnym harmonogramem, dlatego każda z nich wymaga osobnej weryfikacji. Przyjrzeliśmy się, jak powoli poprawka może dotrzeć do przeglądarki danego dostawcy, posługując się jako przykładem przeglądarką Samsung Internet.

Chrome 153 rozpoczyna dwutygodniowy cykl wydawniczy

W tej wersji zmienia się również rytm wydawania aktualizacji. Wersje beta i stabilne są teraz udostępniane co dwa tygodnie zamiast co cztery, zarówno na komputerach stacjonarnych, jak i na urządzeniach z systemami Android i iOS. Premiera Chrome 154 zaplanowana jest na 22 września. Oznacza to dwukrotnie więcej monitów o ponowne uruchomienie oraz krótszą drogę do wprowadzenia poprawek bezpieczeństwa.

Jak sprawdzić wersję

Proszę otworzyć stronę chrome://settings/help, gdzie przeglądarka sprawdza dostępność aktualizacji i natychmiast je pobiera. Jeśli pojawi się przycisk „Uruchom ponownie”, to właśnie kliknięcie tego przycisku jest kluczowym krokiem, ponieważ wszystko, co działo się wcześniej, stanowiło jedynie pobranie aktualizacji. Wyświetlona następnie wersja powinna brzmieć 153.0.8010.36 lub .37, a w systemie Linux – 153.0.8010.36.

Jeśli w wierszu nadal widnieje kompilacja 152 i nic się nie dzieje, oznacza to, że stopniowe wdrażanie aktualizacji nie dotarło jeszcze do Państwa urządzenia. Jedynym rozwiązaniem jest ponowna próba w późniejszych godzinach tego samego dnia. Ataki wykorzystujące spreparowane pliki nie ograniczają się wyłącznie do przeglądarek na komputerach stacjonarnych. Kilka dni temu podobną sytuację odnotowano w przypadku dekodera obrazów firmy Samsung, a w sierpniu podatność w tym zakresie wykazały przeglądarki oparte na sztucznej inteligencji.