CVE-2026-125350: Zero-Day atakuje Chrome XML używany w środowisku

Google wydał awaryjną aktualizację bezpieczeństwa odnoszącą się do CVE-2026-125350, poważnej luki zero-day w komponencie XML Google Chrome, która już jest wykorzystywana w rzeczywistych atakach. Problem jest klasyfikowany jako błąd pamięci dotyczący użycia po zwolnieniu i został zgłoszony anonimowo do Google 6 listopada 2026 roku.

Google potwierdziło 9 listopada, że ​​eksploatacja tej luki istnieje i jest wykorzystywana. Jednak firma nie ujawniła, w jaki sposób są dostarczane ataki, które organizacje lub osoby są celem, ani czy luka jest łączona z dodatkowymi błędami przeglądarki lub ucieczką z sandboxa. Dostęp do podstawowego błędu Chromium pozostaje ograniczony, dopóki użytkownicy nie wdrożą aktualizacji bezpieczeństwa.

Naprawa jest zawarta w Chrome Stable 157.0.8103.50/.51 dla Windows i macOS oraz 157.0.8103.50 dla Linux. Google również wydał Extended Stable 156.0.8078.96 dla Windows i macOS z naprawą dla tej samej luki.

Kontakt z działem sprzedaży

CVE-2026-125350 jest ósmą luką zero-day Chrome znaną z eksploatacji w 2026 roku, po CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 i CVE-2026-87491. Od 10 listopada, SecurityWeek donosi, że CISA nie dodała jeszcze nowo ujawnionej luki do swojego katalogu znanych eksploatowanych luk.

Luki typu użycie po zwolnieniu występują, gdy oprogramowanie nadal odnosi się do pamięci po tym, jak została ona zwolniona. W zależności od dotkniętego kodu i techniki eksploatacji, taki bałagan w pamięci może potencjalnie prowadzić do awarii przeglądarki, uszkodzenia danych lub wykonywania kodu kontrolowanego przez atakującego. Google nie ujawniło dokładnego wpływu osiągniętego w zaobserwowanych atakach, więc obrońcy powinni unikać założenia, że ​​dokumentowany publicznie pełny łańcuch kompromisu systemu już istnieje.

Zespoły bezpieczeństwa mogą używać platformy SOC Prime AI-Native Detection Intelligence, aby wzmocnić pokrycie wykrywania przed eksploatacją przeglądarki, podejrzanymi procesami, ładunkami i kolejnymi zachowaniami atakującego w środowiskach SIEM, EDR, XDR i Data Lake.

Wykryj CVE-2026-125350 łącząc inwentaryzację wersji przeglądarki ze telemetryką końcową i sieciową, monitorując podejrzane procesy uruchomione przez Chrome, nietypowe awarie przeglądarki, niespodziewane pobrania ładunku i zachowanie po eksploitacji po odwiedzeniu potencjalnie niebezpiecznych stron.

Treści związane z wykryciem mogą nie być dostępne dla każdego CVE. Sprawdź platformę SOC Prime dla aktualnego pokrycia. Jeśli odpowiednie wykrycia nie są jeszcze dostępne, sprawdź ponownie, będąc świadomym, że ciągle dodawane są nowe informacje o zagrożeniach i treści dotyczące wykrycia.

Analiza CVE-2026-125350

CVE-2026-125350 wpływa na wrażliwe wydania Google Chrome zawierające warunki użycia po zwolnieniu w komponencie XML przeglądarki. Google ocenia lukę jako o wysokim poziomie zagrożenia, ale nie opublikowało wyniku CVSS lub wektora we swojej informacji z 9 listopada.

Użycie po zwolnieniu występuje, gdy pamięć jest zwalniana, ale oprogramowanie później próbuje uzyskać dostęp do tej samej lokalizacji pamięci. Jeśli atakujący może wpłynąć na zawartość później umieszczaną w tej pamięci, przestarzałe odniesienie może potencjalnie zostać zmanipulowane w celu zmiany zachowania programu.

W przeglądarce internetowej luki dotyczące bezpieczeństwa pamięci są szczególnie ważne, ponieważ zawartość kontrolowana przez atakującego jest rutynowo przetwarzana przez złożone komponenty przeglądarki. Jednak Google nie ujawniło jeszcze dokładnego obiektu XML zaangażowanego, sekwencji wymaganej do wywołania błędu lub konkretnej zawartości internetowej używanej przez atakujących.

Problem związany z Chromium powiązany z tą luką jest obecnie ograniczony. Google rutynowo ogranicza dostęp do szczegółów technicznych błędów, dopóki większość użytkowników nie otrzyma łatki, a ograniczenia mogą pozostać dłużej, gdy błąd istnieje również w oprogramowaniu stron trzecich.

W rezultacie kilka ważnych szczegółów technicznych pozostaje nieznanych. Dostępne źródła nie ustalają, czy do eksploatacji wystarczy po prostu odwiedzenie złośliwej strony, otwarcie specjalnie przygotowanej zawartości XML, interakcja ze stroną czy inny mechanizm dostarczania. Trudno także ustalić, czy atakujący osiągają wykonanie kodu w rendererze Chrome, uciekają z sandboxa przeglądarki, czy łączą tę lukę z innym błędem.

The Hacker News zauważa, że błędy typu użycie po zwolnieniu mogą potencjalnie prowadzić do uszkodzenia danych, awarii lub dowolnego wykonania kodu. To opisuje ogólny wpływ bezpieczeństwa tej klasy luk, a nie potwierdzony przez Google opis dokładnego łańcucha eksploatacji używanego przeciwko CVE-2026-125350.

Mimo to oświadczenie Google jest istotne, ponieważ firma wyraźnie potwierdza, że istnieje eksploatacja w rzeczywistym środowisku. Oznacza to, że tę lukę należy traktować jako priorytet do natychmiastowej naprawy, nawet jeśli techniczne informacje na temat ataków pozostają ograniczone.

Luka została anonimowo zgłoszona do Google 6 listopada 2026 roku. Zaledwie trzy dni później, 9 listopada, Google wydał poprawione wersje Stable dla Windows, macOS i Linux, uznając jednocześnie aktywną eksploatację.

Aktualizacja zawierająca naprawę luki zero-day odnosi się łącznie do dziewięciu problemów z bezpieczeństwem. Inne luki o wysokiej powadze obejmują problem z nieinicjalizowanymi zasobami w WebGL, niepoprawną autoryzację w FileSystem, przepełnienie bufora w Compositing, zapis poza granicami w GPU, lukę typu zamieszanie w typach w V8 oraz inny problem typu użycie po zwolnieniu w XML określany jako CVE-2026-125346. Dwie luki o średniej powadze w GPU również zostały załatane.

Obecność CVE-2026-125346 w tej samej wersji jest warta odróżnienia od luki aktywnie wykorzystywanej. Oba problemy dotyczą warunków użycia po zwolnieniu w funkcjonalności XML Chrome, ale Google stwierdziło jedynie, że CVE-2026-125350 jest wykorzystywana w rzeczywistych atakach.

Google wydał następujące poprawione wersje Stable:

Użytkownicy Extended Stable na Windows i macOS powinni przejść do wersji 156.0.8078.96 lub nowszej.

Ponieważ aktualizacje Chrome wprowadzane są stopniowo, zainstalowana przeglądarka może nie otrzymać od razu poprawionej wersji. Użytkownicy i administratorzy powinni zatem zweryfikować faktyczny uruchamiany build zamiast zakładać, że automatyczne aktualizacje już przesłały poprawkę.

Sytuacja dotycząca PoC dla CVE-2026-125350 również wymaga ostrożności. Google potwierdza, że atakujący posiadają działającą eksploatację, ale ani Google, ani dostarczone raporty nie wskazują na publikację dowodu koncepcji reprodukującego eksploatację. Szczegóły dotyczące błędu Chromium pozostają ograniczone, co ogranicza zdolność obrońców do reprodukcji luki lub identyfikacji artefaktów specyficznych dla eksploatacji.

Dla wykrycia CVE-2026-125350 organizacje powinny zacząć od zarządzania narażeniem. Zespoły bezpieczeństwa powinny zinwentaryzować wersje Chrome w całym środowisku i zidentyfikować systemy uruchamiające wersje starsze niż poprawione. Serwery dostępne z Internetu nie są tutaj głównym problemem; stacje robocze pracowników i inne systemy używane do przeglądania zasługują na natychmiastową uwagę.

Telemetria końcowa może dostarczyć dodatkowych możliwości poszukiwań. Obrońcy powinni badać nietypowe procesy pochodzące z Chrome, szczególnie interpretery poleceń, silniki skryptowe, narzędzia systemowe lub nowo pobrane pliki wykonywalne, które pojawiają się bezpośrednio po aktywności przeglądarki.

Podejrzane zachowanie może obejmować nieoczekiwane wykonywanie PowerShell, cmd.exe, Windows Script Host, mshta.exe, rundll32.exe lub innych narzędzi z powiązania z procesem Chrome. Taka aktywność nie jest specyficzna dla tej luki i nie powinna być samoistnie traktowana jako dowód eksploatacji, ale może dostarczyć przydatnego sygnału behawioralnego w połączeniu z wrażliwymi wersjami przeglądarki i podejrzaną aktywnością przeglądania.

Zespoły bezpieczeństwa powinny również zbadać telemetrię końcową pod kątem nietypowych awarii Chrome lub niepowodzeń renderera, po których następują nowe egzekucje procesów, tworzenie plików, dostęp do poświadczeń, trwałość lub połączenia sieciowe. Sam fakt awarii przeglądarki jest na tyle częsty, że wymaga korelacji z innymi dowodami.

Proxy sieciowe, DNS, bezpieczna brama sieciowa i telemetria przeglądarki końcowej mogą pomóc w odtworzeniu aktywności użytkownika bezpośrednio przed podejrzaną egzekucją. Organizacje powinny zachować odpowiednią historię przeglądania i dzienniki sieciowe, jeśli podejrzewa się eksploatację, szczególnie ponieważ Google nie opublikował informacji o stronach internetowych lub infrastrukturze używanej w obserwowanych atakach.

Obecnie brak dostarczonych przez dostawców IOC dla CVE-2026-125350, takich jak złośliwe domeny, adresy IP, hasze ładunków czy infrastruktura atakującego. Google również nie ujawniło, które grupy zagrożeń są odpowiedzialne za ataki, jakie organizacje są dotknięte, zakres kampanii czy geograficzne ukierunkowanie.

Brak statycznych wskaźników czyni monitorowanie oparte na zachowaniu i zarządzaniu wersjami przeglądarki szczególnie ważnymi. Poszukiwania oparte wyłącznie na hashach lub znanych domenach nie mogą wiarygodnie określić, czy środowisko spotkało się z eksploatacją, gdy publiczna infrastruktura ataków pozostaje nieznana.

Organizacje korzystające z przeglądarek opartych na Chromium, takich jak Microsoft Edge, Brave, Opera i Vivaldi, powinny monitorować odpowiednie porady dostawców i wdrożyć bieżące aktualizacje bezpieczeństwa, gdy tylko się pojawią. The Hacker News szczególnie zaleca, aby użytkownicy tych przeglądarek stosowali poprawki, gdy ich dostawcy je wydają.

Łagodzenie CVE-2026-125350

Podstawowym działaniem naprawczym jest natychmiastowe zaktualizowanie Google Chrome do poprawionej wersji i ponowne uruchomienie przeglądarki, aby działała skorygowana wersja.

Google wydał:

• Chrome 157.0.8103.50/.51 dla Windows
• Chrome 157.0.8103.50/.51 dla macOS
• Chrome 157.0.8103.50 dla Linux
• Chrome Extended Stable 156.0.8078.96 dla Windows i macOS

Chrome normalnie pobiera aktualizacje automatycznie, ale użytkownicy muszą ponownie uruchomić przeglądarkę, aby zaktualizowany build zastąpił uruchamiany proces podatny. The Hacker News zaleca otwarcie Więcej → Pomoc → O Google Chrome i ponowne uruchomienie po zainstalowaniu aktualizacji.

Enterprise security teams should take the following actions:

1. Zinwentaryzować wersje Chrome na zarządzanych punktach końcowych.
2. Priorytetem powinny być systemy nadal uruchamiające wersje starsze niż poprawione Stable lub Extended Stable.
3. Wymusić lub przyspieszyć aktualizacje Chrome poprzez narzędzia zarządzania przeglądarką przedsiębiorstwa.
4. Zweryfikować, że przeglądarki faktycznie zostały ponownie uruchomione po otrzymaniu poprawki.
5. Monitoruj punkty końcowe, których nie można zaktualizować natychmiast, pod kątem podejrzanych procesów uruchomionych z poziomu przeglądarki.
6. Ogranicz dostęp do znanych złośliwych lub nowo zarejestrowanych infrastruktur internetowych poprzez istniejące kontrole bezpieczeństwa sieciowego.
7. Przejrzyj telemetrię bezpieczeństwa pod kątem podejrzanej aktywności Chrome, która miała miejsce przed wdrożeniem poprawki.
8. Monitoruj porady dla dostawców przeglądarek opartych na Chromium i aktualizuj te produkty, gdy poprawki są dostępne.

Ponieważ eksploatacja już miała miejsce w rzeczywistości, łatanie nie powinno być jedyną odpowiedzią dla systemów, które mogły być narażone. Administratorzy powinni rozważyć przegląd niedawnej aktywności końcowej na wrażliwych maszynach, zwłaszcza tam, gdzie narzędzia bezpieczeństwa zarejestrowały nietypowe awarie Chrome, egzekucję poleceń rozpoczynanych przeglądarką, podejrzane pobrania lub połączenia z nieufaną infrastrukturą.

Jeśli zostanie odkryta podejrzana aktywność, należy odizolować dotknięty punkt końcowy i zachować przeglądarki, EDR, DNS, proxy i telemetrię sieciową przed naprawą. Śledczy powinni odtworzyć aktywność przeglądarki poprzedzającą zdarzenie i ustalić, czy doszło do jakichkolwiek kolejnych ładunków, kradzieży poświadczeń, trwałości lub lateralnej migracji.

Organizacje powinny również zweryfikować, czy przeglądarka działała na koncie z dostępem do wrażliwych sesji internetowych, aplikacji przedsiębiorstwa, konsol chmurowych lub uprzywilejowanych poświadczeń. W zależności od dowodów naruszenia, może być odpowiednie unieważnienie sesji i rotacja poświadczeń.

Ograniczone ujawnienie Google oznacza, że obrońcy obecnie nie mają wystarczającej ilości publicznych informacji, aby zbudować sygnaturę dla rzeczywistej eksploatacji. To wzmacnia znaczenie zarządzania łaskami i ogólnego wykrywania eksploatacji, zamiast oczekiwania na niezawodną sygnaturę sieciową lub plikową.