Ósmy w tym roku zero-day w Chrome siedzi w części czytającej XML, a poprawka wymaga ponownego uruchomienia

W poniedziałek 9 listopada Google udostępnił aktualizację Chrome z dziewięcioma poprawkami bezpieczeństwa. Jedna jest ważniejsza od pozostałych. CVE-2026-125350 to błąd pamięci w tej części Chrome, która obsługuje XML, czyli prosty format danych używany przez strony za kulisami, a w komunikacie Google pada zdanie, którego nikt nie lubi czytać: „Google wie, że exploit dla CVE-2026-125350 jest używany w rzeczywistych atakach”.

Według wyliczeń BleepingComputer to już osiem wykorzystywanych zero-dayów w Chrome w 2026 roku, tyle samo co w całym 2025, a zostało jeszcze siedem tygodni. Dwa z pozostałych zostały załatane we wrześniu. Jak podaje CyberInsider, anonimowy badacz zgłosił ten błąd 6 listopada, więc Google przygotował poprawkę w trzy dni. Jak zwykle firma nie mówi, kto wykorzystuje lukę ani przeciwko komu, a szczegóły techniczne pozostają zamknięte, dopóki większość użytkowników się nie zaktualizuje. Znany jest typ błędu: use-after-free, czyli sytuacja, w której przeglądarka dalej korzysta z fragmentu pamięci, który już oddała, a spreparowana strona może to wykorzystać do uruchomienia własnego kodu.

Poprawiona wersja to 157.0.8103.50 lub .51 w systemach Windows i Mac oraz 157.0.8103.50 w Linuksie. Chrome pobiera ją po cichu, ale jest haczyk: pobrana aktualizacja przed niczym nie chroni, dopóki stara przeglądarka wciąż działa. Jeśli tygodniami trzymasz otwarte czterdzieści kart, otwórz menu z trzema kropkami, wybierz Pomoc, potem Google Chrome - informacje, poczekaj na koniec sprawdzania i kliknij Uruchom ponownie. Karty wrócą. Edge, Brave, Opera i Vivaldi są zbudowane na tym samym kodzie Chromium, więc spodziewaj się ich własnych aktualizacji i instaluj je, gdy tylko się pojawią.

Sprawdzanie aktualizacji aplikacji w Tendvane, które korzysta z winget, pokaże, czy Chrome albo inna przeglądarka na Twoim komputerze nadal ma starszą wersję.