Google zakrpio dve kritične Chrome ranjivosti kroz koje maliciozna veb-stranica može da provali u vaš sistem
Chrome, najkorišćeniji veb-pregledač, dobio je zakrpu za 16 propusta, od kojih su dva ocenjena kao kritična jer omogućavaju izvršavanje koda na daljinu. Najteži, CVE-2026-9111, je use-after-free greška u WebRTC komponenti: posebno pripremljena stranica može da natera Chrome da izvrši napadačev kod, bez ikakve dodatne radnje korisnika osim što je posetio. Drugi kritičan propust, CVE-2026-9110, omogućava zaobilaženje bezbednosnih indikatora i moguću eskalaciju dozvola u korisničkom interfejsu. Pogođeni su Windows, macOS i Linux, a ispravke stižu u verzijama 148.0.7778.178/179 (na Linux-u 148.0.7778.178). Google navodi da je propuste pronašao interno i da nema indikatora da se već zloupotrebljavaju u napadima. Uz dva kritična, zakrpljeno je i devet ozbiljnijih propusta u GPU, QUIC, Service Worker i drugim delovima veb-pregledača.
Veb-pregledač je program u kojem prosečni korisnici provedu najviše vremena i kroz koji najviše toga dolazi od spolja. Pronađene kritične ranjivosti kao ove ponekad omogućavaju da za upad bude dovoljan jedan otvoren, zaražen sajt. Kod nas se Chrome najčešće tretira kao obična korisnička aplikacija koju svako ažurira sam, iako je zapravo najšira ulazna tačka na prosečnoj mašini; ko centralno održava servere a veb-pregledače pušta niz vodu, nije dovoljno promislio. Dobra vest je da je ovo uhvaćeno pre zloupotrebe. Ali, zakrpa koja postoji, a nije instalirana ili pregledač posle instalacije nije restartovan — kao da ne postoji.
- Ažurirati Chrome na 148.0.7778.179 (Windows/macOS) odnosno 148.0.7778.178 (Linux) i obavezno restartovati pregledač — zakrpa se primenjuje tek posle restarta
- Proveriti kroz chrome://settings/help da je nova verzija stvarno primenjena. Na svim mašinama, ne samo na svojoj
- U firmama krpljenje Chroma proširiti kroz grupne polise ili mehanizme za upravljanje uređajima, umesto oslanjanja na to da će svaki korisnik ažurirati svoj Chrome sam, jer neće.
- Ne odlagati ažuriranje iako nema napada u toku — kod kritičnih propusta u pregledaču razmak između zakrpe i prvih pokušaja zloupotrebe je sve kraći