Google a peticit al șaptelea zero-day Chrome exploatat în 2026 — actualizează browserul acum

Google a lansat pe 9 septembrie versiunea Chrome 153, care corectează, printre alte 229 de probleme, o breșă marcată cu eticheta pe care niciun administrator nu vrea să o vadă: „Google știe că există deja un exploit folosit în atacuri”. Este al șaptelea zero-day Chrome exploatat activ în 2026. Vestea bună: te aperi în 30 de secunde.

Ce s-a întâmplat

Vulnerabilitatea, CVE-2026-87491, este o eroare de tip out-of-bounds write (scriere în afara zonei de memorie alocate) în V8 — motorul care execută JavaScript și WebAssembly în Chrome. Practic, o pagină web construită special poate scrie acolo unde nu ar trebui în memoria browserului. De aici până la execuție de cod și furt de date e un pas mic, mai ales dacă atacatorul o combină cu o a doua breșă care „sparge” izolarea (sandbox-ul) Chrome.

A raportat-o Jihyeon Jeong, cercetător la Compsec Lab, Universitatea Națională din Seul, care a primit o recompensă de 2.500 de dolari. Google a confirmat exploatarea în atacuri reale, dar — ca de obicei — nu dă detalii tehnice și nici cine e în spatele atacurilor până când majoritatea utilizatorilor nu s-au actualizat. Curios: Google a clasificat zero-day-ul în sine drept severitate „medie”, neobișnuit pentru o breșă deja exploatată, deși unele baze de date de vulnerabilități îi atribuie un scor CVSS de 8,8 din 10.

Versiunile care conțin corecția: 153.0.8010.36 pe Linux și 153.0.8010.36/.37 pe Windows și macOS. În total, Chrome 153 rezolvă 230 de vulnerabilități — 5 critice, 41 de nivel înalt, restul medii și mici.

Cum actualizezi Chrome (30 de secunde)

Pe computer: apasă meniul cu trei puncte (⋮) din dreapta sus → Ajutor → Despre Google Chrome. Sau, mai rapid, scrie chrome://settings/help în bara de adrese. Chrome verifică singur, descarcă actualizarea și apoi îți arată butonul Reinițializează (Relaunch). Apasă-l — actualizarea nu e activă până nu repornești browserul. Confirmă că scrie versiunea 153.0.8010.36 sau mai nouă.

Pe Android: deschide Magazin Play → caută Chrome → Actualizează. Pe iPhone și iPad: aplicația Chrome folosește motorul de browser impus de Apple, nu V8, deci această breșă nu se aplică în același fel; oricum, ține aplicația la zi din App Store.

Nu doar Chrome

Toate browserele construite pe Chromium folosesc același motor V8: Microsoft Edge, Brave, Opera, Vivaldi, Arc și altele. Verifică și actualizează-le și pe acelea în zilele următoare — corecțiile ajung la ele cu o mică întârziere față de Chrome. Firefox și Safari au motoare proprii și nu sunt atinse de acest CVE, dar au propriile lor actualizări de securitate, la fel de importante.

Al șaptelea din 2026 — de ce contează

Un zero-day înseamnă că atacul a apărut înainte de corecție. Fereastra de risc e chiar acum, între anunț și momentul în care închizi și redeschizi browserul. Iată cele șapte zero-day-uri Chrome exploatate activ în acest an — un record:

Patru din șapte sunt în V8. Motorul e ținta preferată pentru că rulează cod venit din orice pagină web, e enorm și e scris în C++, un limbaj în care greșelile de gestionare a memoriei sunt ușor de făcut. De asta Google rescrie treptat părți din Chrome în Rust, un limbaj care previne din start acest tip de erori — dar V8 rămâne, deocamdată, punctul slab.

De reținut

Nu amâna repornirea browserului „pentru mai târziu”. Am scris despre al cincilea zero-day Chrome al anului în iunie, iar pe 9 septembrie Microsoft a livrat cel mai mare Patch Tuesday din istorie. 2026 e, de departe, cel mai aglomerat an pentru corecții de securitate — obiceiul de a actualiza imediat contează mai mult ca oricând.

Numerele de versiune și de vulnerabilități sunt valabile la 10 septembrie 2026. Chrome se actualizează des; versiunea pe care o ai poate fi deja mai nouă decât cea din articol — important e să fie cel puțin 153.0.8010.36.