Chrome: chybu CVE-2026-125350 už útočníci zneužívají – aktualizujte na verzi 157

Co se stalo

Google 9. listopadu 2026 vydal ve stabilním kanálu Chrome 157: verzi 157.0.8103.50/.51 pro Windows a Mac a 157.0.8103.50 pro Linux. Aktualizace opravuje devět bezpečnostních chyb. U jedné z nich Google v bulletinu výslovně píše, že ví o existenci exploitu pro CVE-2026-125350 v oběhu („Google is aware that an exploit for CVE-2026-125350 exists in the wild“).

Jde tedy o zero-day – chybu, pro kterou měli útočníci funkční exploit dřív, než většina uživatelů dostala opravu. Google ji týž den opravil i v rozšířené stabilní verzi (156.0.8078.96 pro Windows a Mac) a v Chrome 157.0.8103.50 pro Android. Aktualizace se podle Googlu bude šířit „v průběhu dnů až týdnů“, takže některé počítače ji ještě nemají.

Technické podrobnosti

Google chybu popisuje čtyřmi slovy: use after free in XML, tedy použití uvolněné paměti v komponentě XML. K takové chybě dojde, když program uvolní kus paměti, ale dál pracuje s ukazatelem na něj. Pokud útočník dokáže do uvolněné paměti dostat vlastní data, program pak pracuje s daty, která útočník ovládá. V prohlížečích je to častá cesta ke spuštění kódu v procesu vykreslování (renderer) – v izolované části Chrome, která zpracovává webové stránky.

Komponenta XML zpracovává dokumenty XML, které stránka načte nebo sestaví. Při typickém útoku na prohlížeč stačí, aby oběť otevřela škodlivou stránku nebo napadený legitimní web; nic se nestahuje ani neotevírá. Skutečné útoky často kombinují takovou chybu s další, která umožní uniknout z izolace (sandboxu). Zda je to i tento případ, Google neuvedl.

Podrobnosti chyby Google drží neveřejné, „dokud většina uživatelů nemá opravu“. Nezveřejnil proto přesné místo v kódu, podmínky zneužití ani průběh útoků. Návod ke zneužití nezveřejňujeme ani my.

Chrome 157 opravuje i chyby s vysokou závažností ve WebGL, FileSystem, Compositing, GPU a V8 a druhou chybu use-after-free v XML (CVE-2026-125346). U žádné z nich Google zneužívání neuvádí.

Koho se to týká

• Google Chrome pro Windows a Mac starší než 157.0.8103.50/.51 a pro Linux starší než 157.0.8103.50.
• Rozšířená stabilní verze (Extended Stable, kterou firmy používají kvůli aktualizacím jednou za osm týdnů) starší než 156.0.8078.96.
• Chrome pro Android starší než 157.0.8103.50. Podle Googlu obsahují verze pro Android stejné bezpečnostní opravy jako odpovídající verze pro počítače, pokud není uvedeno jinak.
• Další prohlížeče postavené na Chromiu (Microsoft Edge, Brave, Opera, Vivaldi a další) mohou obsahovat stejný kód. Opravu přináší každý výrobce ve vlastní aktualizaci.
• Microsoft Edge: Microsoft 9. 11. v bezpečnostních poznámkách k Edge napsal, že ví o nedávných exploitech v oběhu a aktivně pracuje na opravě. Číslo CVE v záznamu neuvádí. Poslední stabilní Edge 157.0.4341.42 vyšel už 5. 11., tedy před opravou Chromia. Edge pro Android 157.0.4341.53 (11. 11.) chybu podle Microsoftu opravuje; Edge pro počítače k ránu 12. 11. opravu neměl; k 14. 11. Microsoft uvádí opravu ve verzi 157.0.4341.46 (podrobnosti v Aktualizaci).

Jak poznat napadení

Google nezveřejnil žádné indikátory napadení – domény, IP adresy ani otisky souborů – a neuvedl, na koho útoky mířily. Útoky přes zero-day v prohlížeči bývají zaměřené na úzkou skupinu lidí, takže většina uživatelů nic nepozná.

Co mohou udělat správci:

• Najděte zastaralé prohlížeče. Ze správy zařízení nebo inventáře softwaru vypište počítače s Chrome starším než výše uvedené verze.
• Hledejte neobvyklé podřízené procesy Chrome v EDR, například příkazový řádek, PowerShell nebo interprety skriptů spuštěné procesem prohlížeče.
• Sledujte nové indikátory. Pokud je Google, jiný výrobce nebo CERT zveřejní později, vytáhnete si je ze zprávy v našem extraktoru IOC, který běží jen ve vašem prohlížeči.

Co udělat

1. Aktualizujte Chrome a restartujte ho. Nabídka → Nápověda → O aplikaci Google Chrome. Aktualizace se dokončí až po restartu – prohlížeč se spoustou karet, který jste týdny nezavřeli, je dál zranitelný.
2. Na Androidu aktualizujte Chrome z Google Play.
3. Správci: nasaďte verzi 157.0.8103.50 (nebo 156.0.8078.96 v rozšířené stabilní verzi), lépe rovnou novější 157.0.8103.78 s dalšími opravami, a vynuťte restart prohlížeče zásadami. Nečekejte na postupné šíření aktualizace.
4. Edge a jiné prohlížeče na Chromiu: Edge na počítačích aktualizujte na 157.0.4341.46 nebo vyšší (aktuálně 157.0.4341.57), v Androidu z Google Play na 157.0.4341.53 nebo vyšší. U ostatních prohlížečů na Chromiu nainstalujte nejbližší bezpečnostní aktualizaci výrobce a v poznámkách k vydání hledejte CVE-2026-125350.
5. Zkontrolujte článek za pár dní. Technické podrobnosti doplníme, jakmile vyjdou.

Časová osa

Aktualizace

• 14. 11. 2026 – Edge pro počítače je opravený. Microsoft v bezpečnostních poznámkách k Edge nahradil text záznamu z 9. 11. (dřív „o exploitech víme a na opravě pracujeme“): nově uvádí, že Edge Stable 157.0.4341.46 obsahuje opravu CVE-2026-125350. Kdy přesně tato verze vyšla, záznam neříká – 12. 11. ráno v poznámkách ještě nebyla. 13. 11. následoval Edge 157.0.4341.57 s dalšími opravami z Chromia (čísla CVE Microsoft doplní). Google mezitím vydal Chrome 157.0.8103.78: NVD má od 11. 11. desítky nových záznamů s opravou v této verzi, nejméně tři s kritickou závažností podle Chromia (mj. use-after-free v ServiceWorker a Layout). U žádného z nich záznam zneužívání neuvádí. Doporučujeme aktualizovat rovnou na tuto verzi.
• 12. 11. 2026 – Microsoft v bezpečnostních poznámkách k Edge doplnil záznam z 11. 11.: Edge pro Android 157.0.4341.53 obsahuje opravu CVE-2026-125350, kterou tým Chromia hlásí jako zneužívanou. Pro Edge na počítačích (Windows, Mac, Linux) k ránu 12. 11. opravený stabilní build nevyšel – poslední je 157.0.4341.42 z 5. 11. Technický rozbor ani indikátory napadení stále nejsou.
• 11. 11. 2026 – NVD má od večera 10. 11. záznam CVE-2026-125350 (stav „Analyzed“): typ chyby CWE-416 (use-after-free), dotčený Chrome před 157.0.8103.50. Skóre CVSS 3.1 je 8,8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) od CISA – útok po síti, bez přihlášení, oběť musí otevřít upravenou stránku. CISA v záznamu vede zneužívání jako aktivní. Microsoft opravu Edge pro počítače k 11. 11. večer stále nevydal (poslední záznam 9. 11.: na opravě pracuje). Technický rozbor ani indikátory napadení nevyšly.
• 10. 11. 2026, večer – CISA zařadila CVE-2026-125350 do katalogu známých zneužívaných zranitelností (KEV), federální úřady USA ji musí opravit do 24. 11. 2026. Skóre CVSS ani technické podrobnosti zatím nejsou. Microsoft u Edge pro počítače stále uvádí, že na opravě pracuje.
• 10. 11. 2026, dopoledne – Microsoft 9. 11. potvrdil, že o exploitech v oběhu ví a připravuje opravu Edge; ta k 10. 11. dopoledne nevyšla. NVD záznam ani zařazení do CISA KEV stále nejsou (KEV 2026.11.09). Nový příspěvek Googlu k Chrome po 9. 11. nevyšel.
• 10. 11. 2026 – první verze článku.