Čo sa stalo
Google vydal 9. novembra 2026 bezpečnostnú aktualizáciu prehliadača Chrome pre počítače. Podľa portálu The Hacker News opravuje deväť zraniteľností, medzi nimi aj chybu označenú CVE-2026-125350 v časti prehliadača, ktorá spracúva XML.
Google podľa The Hacker News potvrdil, že vie o existencii exploitu, teda útočného kódu na túto chybu, ktorý sa používa v reálnom svete. Podrobnosti o tom, kto chybu zneužíva a proti komu, zatiaľ nezverejnil. Prístup k technickým detailom môže Google podľa vlastných slov obmedziť, kým si opravu nenainštaluje väčšina používateľov.
Americká agentúra CISA zaradila chybu 10. novembra 2026 do katalógu aktívne zneužívaných zraniteľností. Rovnako ju ako zneužívanú od 10. novembra 2026 vedie aj európska databáza zraniteľností EUVD agentúry ENISA. Chybu podľa The Hacker News nahlásil 6. novembra 2026 anonymný výskumník a ide už o ôsmu aktívne zneužívanú chybu v Chrome od začiatku roka.
Prečo je to nebezpečné
Ide o chybu typu „use-after-free“, teda použitie už uvoľnenej pamäte. Predstavte si šatňu: odovzdáte lístok, vešiak sa uvoľní a niekto naň zavesí iný kabát. Ak program potom stále siahne na pôvodný vešiak, dostane cudzí obsah. Útočník vie takú situáciu zariadiť tak, aby program namiesto svojich údajov spracoval tie jeho.
Podľa popisu v databáze NVD môže útočník na diaľku cez podvrhnutú HTML stránku spustiť vlastný kód vnútri sandboxu prehliadača. Prihlásenie nepotrebuje, stačí, aby obeť stránku otvorila, napríklad z odkazu v e-maile alebo cez napadnutý web či reklamu.
Sandbox je izolované prostredie, ktoré má obmedziť, čo kód v prehliadači môže urobiť so zvyškom počítača. Na úplné prevzatie počítača útočníci spravidla kombinujú takúto chybu s ďalšou, ktorá umožní zo sandboxu uniknúť. Aj samotný prístup do prehliadača je však vážny: môže ísť o prihlásené relácie, heslá či firemné webové aplikácie.
Chyba má skóre závažnosti CVSS 8,8 z 10, čo je vysoká závažnosť, a Google ju sám hodnotí ako „High“. Katalóg CISA KEV je zoznam chýb, ktoré sa preukázateľne zneužívajú. Americké federálne úrady ju musia opraviť do 24. novembra 2026. Či chybu využívajú aj ransomvérové skupiny, CISA zatiaľ neuvádza.
Koho sa to týka
Zasiahnutý je Google Chrome pre počítače so systémom Windows, macOS a Linux vo verziách starších ako 157.0.8103.50. Týka sa to prakticky každej firmy, kde zamestnanci používajú Chrome na prácu s e-mailom, webovými aplikáciami či internetovým bankovníctvom.
The Hacker News odporúča aktualizovať aj ďalšie prehliadače postavené na Chromiu, napríklad Microsoft Edge, Brave, Opera a Vivaldi, hneď ako ich výrobcovia vydajú opravu. Konkrétne opravené verzie týchto prehliadačov Google ani The Hacker News neuvádzajú.
- pracovné stanice a notebooky zamestnancov
- terminálové a RDP servery, kde sa používatelia pripájajú a prehliadajú web
- počítače, kde sa Chrome neaktualizuje sám, napríklad kvôli politikám alebo chýbajúcim právam
Ako zistiť, či ste zasiahnutí
Najjednoduchšie je otvoriť v Chrome adresu chrome://settings/help alebo ponuku Viac > Pomocník > Informácie o prehliadači Google Chrome. Zobrazí sa aktuálna verzia. Pozor, táto stránka zároveň spustí kontrolu aktualizácií.
Len na čítanie verzie bez zásahu do prehliadača môžete použiť tieto príkazy. Na Linuxe:
google-chrome --versionNa Windowse (verzia, ktorú naposledy spustil aktuálny používateľ):
reg query "HKCU\Software\Google\Chrome\BLBeacon" /v versionNa macOS:
"/Applications/Google Chrome.app/Contents/MacOS/Google Chrome" --versionAk spravujete flotilu počítačov, prehľad verzií nájdete aj v nástroji na správu zariadení alebo v konzole Google Admin. Všetko pod 157.0.8103.50 je zraniteľné.
Ako to opraviť
Opravou je Chrome 157.0.8103.50/.51 pre Windows a macOS a 157.0.8103.50 pre Linux, prípadne novší. Dočasné riešenie bez aktualizácie Google neuvádza, preto je jedinou skutočnou ochranou aktualizácia.
- Otvorte Viac > Pomocník > Informácie o prehliadači Google Chrome a nechajte stiahnuť aktualizáciu.
- Kliknite na Znova spustiť. Bez reštartu prehliadača sa oprava neuplatní.
- Na Linuxe aktualizujte balík
google-chrome-stablecez správcu balíkov distribúcie. - Vo firme overte, či politiky nebránia automatickým aktualizáciám, a vynúťte reštart prehliadača, napríklad cez skupinové politiky alebo konzolu Google Admin.
- Následne aktualizujte Edge, Brave, Operu, Vivaldi a ďalšie prehliadače na báze Chromia, keď ich výrobcovia vydajú opravu.
Poradie: najprv počítače ľudí, ktorí pracujú s citlivými údajmi a s e-mailom zvonka (vedenie, účtovníctvo, správcovia IT), potom terminálové servery a nakoniec ostatné stanice. Keďže chyba sa už zneužíva, neodkladajte to na pravidelné údržbové okno.
Čo ak už ste mohli byť napadnutí
Google ani CISA zatiaľ nezverejnili konkrétne indikátory napadnutia, teda adresy, súbory či iné stopy útoku. Kontrola preto môže byť len všeobecná.
- upozornenia antivírusu alebo EDR z posledných dní, najmä na procesy spúšťané prehliadačom
- neznáme rozšírenia v Chrome a nečakané stiahnuté súbory
- podozrivé prihlásenia do e-mailu a firemných cloudových služieb, prípadne z nezvyčajných krajín
- nové alebo neznáme používateľské účty a naplánované úlohy na počítači
Ak niečo z toho nájdete alebo máte podozrenie, že niekto otvoril podvrhnutý odkaz, počítač odpojte od siete, zmeňte heslá z iného zariadenia a ukončite aktívne relácie. Pri cielenom útoku na vedenie či účtovníctvo prizvite odborníka na bezpečnostné incidenty.