Google opravil v Chrome 157 už osmou letos zneužívanou chybu prohlížeče
Chyba CVE-2026-125350 v části Chromu, která zpracovává XML, dovoluje po otevření podvržené stránky spustit cizí kód v izolovaném prostředí prohlížeče a Google ví, že se zneužívá. Oprava vyšla 9. listopadu ve verzi 157.0.8103.50 a Brave i Chrome pro Android ji už mají. Microsoft Edge k 11. listopadu jen hlásí, že na ní pracuje.
Google v pondělí 9. listopadu 2026 vydal Chrome 157.0.8103.50 pro Linux a 157.0.8103.50/.51 pro Windows a Mac. Podle oznámení na blogu Chrome Releases opravuje devět bezpečnostních chyb. U jedné z nich, CVE-2026-125350, stojí věta „Google is aware that an exploit for CVE-2026-125350 exists in the wild“. Přeloženo: Google ví, že útočníci chybu už v praxi používají. Kdo za útoky stojí a proti komu míří, firma neuvádí.
Podvržená stránka spustí cizí kód
Chyba sedí v části prohlížeče, která zpracovává XML. Je to typ use-after-free: program dál sahá na kus paměti, který už uvolnil, a útočník do něj mezitím může podstrčit vlastní data. Záznam CVE popisuje následek tak, že útočník na dálku „execute arbitrary code inside the sandbox via a crafted HTML page“, tedy přes podvrženou stránku spustí vlastní kód uvnitř sandboxu. Sandbox je oddělené prostředí s omezenými právy, ve kterém Chrome webové stránky zpracovává.
Americký úřad pro kybernetickou bezpečnost CISA chybě přidělil 8,8 bodu z deseti. Podle jeho hodnocení útočník nepotřebuje žádná oprávnění, jen to, aby oběť sama něco udělala, v tomhle případě otevřela stránku. Federálním úřadům USA nařídil opravu nainstalovat do 24. listopadu.
Chybu nahlásil anonymní výzkumník 6. listopadu, oprava tedy vyšla za tři dny. Podrobnosti Google drží pod zámkem, „until a majority of users are updated with a fix“, dokud si opravu nenainstaluje většina uživatelů. Stejná aktualizace řeší i druhou chybu téhož druhu v XML, CVE-2026-125346. Tu 12. října nahlásil Arni Hardarson z Neonix Security a o jejím zneužívání Google nepíše nic.
Brave a Chrome pro Android opravu mají, Edge na ni čeká
Chrome stojí na otevřeném projektu Chromium. Na něm jsou postavené i Microsoft Edge, Brave, Opera nebo Vivaldi. Katalog zneužívaných zranitelností CISA, kam chyba přibyla 10. listopadu, proto výslovně píše, že se týká víc prohlížečů, „including, but not limited to, Google Chrome, Microsoft Edge, and Opera“. Kdo už opravu vydal, ukazuje tabulka.
| Prohlížeč | Verze s opravou | Stav k 11. 11. 2026 |
|---|---|---|
| Chrome pro Windows a Mac | 157.0.8103.50/.51 | vydáno 9. 11. |
| Chrome pro Linux | 157.0.8103.50 | vydáno 9. 11. |
| Chrome Extended Stable pro Windows a Mac | 156.0.8078.96 | vydáno 9. 11. |
| Chrome pro Android | 157.0.8103.50 | vydáno 9. 11., Google Play ho rozesílá několik dní |
| Brave | 1.99.56 (Chromium 157.0.8103.50) | vydáno 10. 11. |
| Microsoft Edge | zatím žádná | Microsoft 9. 11. oznámil, že na opravě pracuje |
Verze pro Android podle zápisu Googlu obsahuje stejné bezpečnostní opravy jako vydání pro počítače. Starší větev Extended Stable dostala opravu týž den a Brave ji převzal ve vydání 1.99.56 o den později.
U Edge je v bezpečnostních poznámkách Microsoftu jako poslední zápis z 9. listopadu: „Microsoft is aware of the recent exploits existing in the wild. We are actively working on releasing a security fix.“ Microsoft tedy o útocích ví a opravu připravuje. Poslední stolní verze Edge 157.0.4341.42 vyšla 5. listopadu, den před nahlášením chyby. Uživatelům Opery a Vivaldi radí The Hacker News nainstalovat opravu, jakmile ji jejich výrobce vydá.
Chrome pro iPhone a iPad vyšel 10. listopadu ve verzi 158.0.8127.32. Jeho zápis žádné bezpečnostní opravy nevyjmenovává.
Aktualizaci si v Chromu jde vyžádat ručně
Google nové verze rozesílá postupně, podle oznámení „over the coming days/weeks“. Kdo nechce čekat, postupuje podle české nápovědy: vpravo nahoře otevře nabídku se třemi tečkami, vybere Nápověda a O aplikaci Google Chrome a potom Znovu spustit. Když tlačítko Znovu spustit chybí, prohlížeč už nejnovější verzi má. Otevřené karty a okna Chrome po restartu obnoví, anonymní okna ne. V telefonu s Androidem se Chrome aktualizuje přes Google Play.
Polovina letošních zneužívaných chyb byla ve V8
Podle The Register je CVE-2026-125350 osmá zneužívaná chyba Chromu, kterou Google letos opravil. Stejně jich bylo za celý rok 2025, a do konce letoška přitom zbývají skoro dva měsíce. Všech osm vede katalog CISA, z něhož je i tabulka. Datum v ní je den zařazení do katalogu, ne den vydání opravy.
| Chyba | Část prohlížeče | V katalogu CISA od |
|---|---|---|
| CVE-2026-2441 | CSS | 17. 2. 2026 |
| CVE-2026-3909 | grafická knihovna Skia | 13. 3. 2026 |
| CVE-2026-3910 | V8 | 13. 3. 2026 |
| CVE-2026-5281 | Dawn (WebGPU) | 1. 4. 2026 |
| CVE-2026-11645 | V8 | 9. 6. 2026 |
| CVE-2026-85046 | V8 | 4. 9. 2026 |
| CVE-2026-87491 | V8 | 9. 9. 2026 |
| CVE-2026-125350 | XML | 10. 11. 2026 |
V8 je část Chromu, která spouští JavaScript, a byly v ní čtyři z osmi chyb. Dawn je jeho implementace rozhraní WebGPU, přes které stránky pracují s grafickou kartou.
Zdroje
- Chrome Releases: Stable Channel Update for Desktop (9. 11. 2026)
- Chrome Releases: Chrome for Android Update (9. 11. 2026)
- Chrome Releases: Extended Stable Update for Desktop (9. 11. 2026)
- CVE.org: záznam CVE-2026-125350 s hodnocením CISA
- CISA: Known Exploited Vulnerabilities Catalog
- Microsoft Learn: Release notes for Microsoft Edge Security Updates
- Brave: vydání 1.99.56 na GitHubu
- Nápověda Google Chrome: Aktualizace prohlížeče Google Chrome
- The Register: Chrome zero-day whack-a-mole continues as 2026 tally hits 8
- The Hacker News: Google Issues Chrome Security Update for Eighth Actively Exploited Zero-Day of 2026
