Co se stalo
Google vydal 9. listopadu 2026 bezpečnostní aktualizaci prohlížeče Chrome pro počítače. Podle serveru The Hacker News opravuje devět zranitelností, mezi nimi i chybu označenou CVE-2026-125350 v části prohlížeče, která zpracovává XML.
Google podle The Hacker News potvrdil, že ví o existenci exploitu, tedy útočného kódu na tuto chybu, který se používá v reálném světě. Podrobnosti o tom, kdo chybu zneužívá a proti komu, zatím nezveřejnil. Přístup k technickým detailům může Google podle svých slov omezit, dokud si opravu nenainstaluje většina uživatelů.
Americká agentura CISA zařadila chybu 10. listopadu 2026 do katalogu aktivně zneužívaných zranitelností. Jako zneužívanou od 10. listopadu 2026 ji vede i evropská databáze zranitelností EUVD agentury ENISA. Chybu podle The Hacker News nahlásil 6. listopadu 2026 anonymní výzkumník a jde už o osmou aktivně zneužívanou chybu v Chrome od začátku roku.
Proč je to nebezpečné
Jde o chybu typu „use-after-free“, tedy použití již uvolněné paměti. Představte si šatnu: odevzdáte lístek, věšák se uvolní a někdo na něj pověsí jiný kabát. Pokud program pak stále sáhne na původní věšák, dostane cizí obsah. Útočník umí takovou situaci připravit tak, aby program místo svých dat zpracoval ta jeho.
Podle popisu v databázi NVD může útočník na dálku přes podvrženou HTML stránku spustit vlastní kód uvnitř sandboxu prohlížeče. Přihlášení nepotřebuje, stačí, aby oběť stránku otevřela, třeba z odkazu v e-mailu nebo přes napadený web či reklamu.
Sandbox je izolované prostředí, které má omezit, co kód v prohlížeči může udělat se zbytkem počítače. K úplnému převzetí počítače útočníci obvykle kombinují takovou chybu s další, která umožní ze sandboxu uniknout. I samotný přístup do prohlížeče je ale vážný: může jít o přihlášené relace, hesla či firemní webové aplikace.
Chyba má skóre závažnosti CVSS 8,8 z 10, což je vysoká závažnost, a Google ji sám hodnotí jako „High“. Katalog CISA KEV je seznam chyb, které se prokazatelně zneužívají. Americké federální úřady ji musí opravit do 24. listopadu 2026. Zda chybu využívají i ransomwarové skupiny, CISA zatím neuvádí.
Koho se to týká
Zasažen je Google Chrome pro počítače se systémem Windows, macOS a Linux ve verzích starších než 157.0.8103.50. Týká se to prakticky každé firmy, kde zaměstnanci používají Chrome pro práci s e-mailem, webovými aplikacemi či internetovým bankovnictvím.
The Hacker News doporučuje aktualizovat i další prohlížeče postavené na Chromiu, například Microsoft Edge, Brave, Opera a Vivaldi, jakmile jejich výrobci vydají opravu. Konkrétní opravené verze těchto prohlížečů Google ani The Hacker News neuvádějí.
- pracovní stanice a notebooky zaměstnanců
- terminálové a RDP servery, kde se uživatelé připojují a prohlížejí web
- počítače, kde se Chrome neaktualizuje sám, například kvůli zásadám nebo chybějícím právům
Jak zjistit, zda jste zasaženi
Nejjednodušší je otevřít v Chrome adresu chrome://settings/help nebo nabídku Další > Nápověda > O aplikaci Google Chrome. Zobrazí se aktuální verze. Pozor, tato stránka zároveň spustí kontrolu aktualizací.
Pouze pro zjištění verze bez zásahu do prohlížeče můžete použít tyto příkazy. Na Linuxu:
google-chrome --versionNa Windows (verze, kterou naposledy spustil aktuální uživatel):
reg query "HKCU\Software\Google\Chrome\BLBeacon" /v versionNa macOS:
"/Applications/Google Chrome.app/Contents/MacOS/Google Chrome" --versionPokud spravujete více počítačů, přehled verzí najdete i v nástroji pro správu zařízení nebo v konzoli Google Admin. Vše pod 157.0.8103.50 je zranitelné.
Jak to opravit
Opravou je Chrome 157.0.8103.50/.51 pro Windows a macOS a 157.0.8103.50 pro Linux, případně novější. Dočasné řešení bez aktualizace Google neuvádí, takže jedinou skutečnou ochranou je aktualizace.
- Otevřete Další > Nápověda > O aplikaci Google Chrome a nechte stáhnout aktualizaci.
- Klikněte na Znovu spustit. Bez restartu prohlížeče se oprava neuplatní.
- Na Linuxu aktualizujte balíček
google-chrome-stablepřes správce balíčků distribuce. - Ve firmě ověřte, zda zásady nebrání automatickým aktualizacím, a vynuťte restart prohlížeče, například přes skupinové zásady nebo konzoli Google Admin.
- Poté aktualizujte Edge, Brave, Operu, Vivaldi a další prohlížeče na bázi Chromia, jakmile jejich výrobci vydají opravu.
Pořadí: nejdřív počítače lidí, kteří pracují s citlivými daty a s e-mailem zvenku (vedení, účetní, správci IT), pak terminálové servery a nakonec ostatní stanice. Protože se chyba už zneužívá, neodkládejte to na pravidelné servisní okno.
Co když už jste mohli být napadeni
Google ani CISA zatím nezveřejnily konkrétní indikátory kompromitace, tedy adresy, soubory či jiné stopy útoku. Kontrola proto může být jen obecná.
- upozornění antiviru nebo EDR z posledních dní, zejména na procesy spouštěné prohlížečem
- neznámá rozšíření v Chrome a nečekané stažené soubory
- podezřelá přihlášení do e-mailu a firemních cloudových služeb, případně z neobvyklých zemí
- nové nebo neznámé uživatelské účty a naplánované úlohy na počítači
Pokud něco z toho najdete nebo máte podezření, že někdo otevřel podvržený odkaz, odpojte počítač od sítě, změňte hesla z jiného zařízení a ukončete aktivní relace. Při cíleném útoku na vedení či účetní přizvěte odborníka na bezpečnostní incidenty.