Błąd w komponencie Dawn silnika Chromium pozwala w łańcuchu z inną luką uruchomić kod na komputerze po otwarciu strony. CISA potwierdza ataki. Zaktualizuj Chrome, Edge i Operę dziś.
Ten alert jest dla zarządu, CTO i CFO każdej firmy, w której pracownicy korzystają z Google Chrome, Microsoft Edge, Opery lub innej przeglądarki opartej na Chromium. Werdykt: jeśli przeglądarki na firmowych komputerach mają wersję starszą niż Chrome 146.0.7680.178 lub Edge 146.0.3856.97, wymuś aktualizację dziś, bo luka jest wykorzystywana w prawdziwych atakach.
Amerykańska agencja CISA 1 kwietnia 2026 roku dopisała podatność CVE-2026-5281 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Tego dnia był to jedyny nowy wpis w katalogu. Błąd tkwi w Dawn, fragmencie silnika Chromium obsługującym WebGPU, czyli korzystanie przez strony internetowe z karty graficznej komputera.
Ważny warunek: usterka sama nie wystarcza do przejęcia komputera. Napastnik musi najpierw przejąć proces renderujący przeglądarki inną luką, a CVE-2026-5281 służy mu do wyjścia z „piaskownicy” i wykonania kodu. Google potwierdza, że wie o działającym exploicie używanym w atakach. Termin naprawy wg CISA minął 15 kwietnia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-5281 |
Data dodania do CISA KEV | 2026-04-01 |
Termin naprawy wg CISA | 2026-04-15 (14 dni od wpisu) |
Produkt | Google Dawn (komponent WebGPU w Chromium); dotyczy m.in. Google Chrome, Microsoft Edge i Opery |
Wersje zagrożone | Google Chrome przed 146.0.7680.178 (opis NVD; lista maszynowa NVD kończy zakres na 146.0.7680.177), Microsoft Edge przed 146.0.3856.97, pakiety chromium w dystrybucjach Linuksa sprzed poprawek. Wykorzystanie wymaga wcześniejszego przejęcia procesu renderującego |
Wersje bezpieczne | Chrome 146.0.7680.178 (31 marca 2026), Edge 146.0.3856.97 (2 kwietnia 2026), Debian DSA-6192-1: chromium 146.0.7680.177-1~deb12u1 (bookworm) i 146.0.7680.177-1~deb13u1 (trixie), openSUSE-SU-2026:20460-1: chromium 146.0.7680.177 (Leap 16.0); oraz każda nowsza wersja |
Typ podatności | Użycie pamięci po zwolnieniu (use-after-free); CWE-416 (Google, CISA), CWE-825 wg Red Hat |
Ocena CVSS | CISA: 8.8 WYSOKA (CVSS 3.1). Red Hat: 9.0 KRYTYCZNA (CVSS 3.1, ocena robocza). Google: waga High w skali Chromium. SUSE: krytyczna |
Wyobraź sobie, że firma zwolniła miesiąc temu pokój w biurowcu. Zamek przekodowano dla nowego najemcy, ale przy recepcji wciąż wisi stara kartka z numerem tego pokoju. Kurier, kierując się nią, zostawia tam teczkę z umowami, a nowy najemca po prostu ją bierze. Nikt się nie włamał: wystarczyła nieaktualna notatka.
Tak działa „użycie pamięci po zwolnieniu”. Przeglądarka oddaje fragment pamięci, ale w innym miejscu zostaje do niego stary odnośnik, a napastnik podstawia tam własne dane. W tym przypadku to druga połowa ataku: przeglądarka trzyma zawartość stron w odgrodzonej piaskownicy bez dostępu do dysku. Ta luka pozwala z niej wyjść i uruchomić kod z uprawnieniami pracownika przy klawiaturze.
💡 Chromium to wspólny silnik wielu przeglądarek (Chrome, Edge, Opera). Dawn i WebGPU pozwalają stronom korzystać z karty graficznej, np. w konfiguratorach 3D. Proces renderujący rysuje zawartość strony. Piaskownica (sandbox) to odgrodzony obszar, który ogranicza szkody po przejęciu renderera. Łańcuch exploitów to kilka luk użytych po kolei, gdy jedna nie wystarcza.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Otwarcie złośliwej strony | Najwyżej problem w obrębie karty przeglądarki | Przy łańcuchu luk: kod napastnika na komputerze |
Przejęty proces renderujący | Zamknięty w piaskownicy, bez dostępu do plików | Może wyjść z piaskownicy |
Pliki na pulpicie księgowej | Niedostępne dla stron internetowych | Dostępne z uprawnieniami użytkownika |
Konieczność pobrania pliku | Zwykle potrzebna do infekcji | Nie jest potrzebna, wystarczy otwarcie strony |
Aktualizacja przeglądarki | Automatyczna w tle | Zablokowana ręcznie lub zapomniana, luka zostaje otwarta |
źródło: freepik.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. CISA ocenia, że wykorzystania nie da się zautomatyzować, a wysoki poziom trudności (łańcuch dwóch luk) oznacza ataki wąsko celowane, zwykle na wybrane osoby, a nie masowe.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 min | Wybór osób w firmie, np. księgowości lub zarządu, i przygotowanie strony z łańcuchem exploitów | Gotowa pułapka |
2. Zwabienie | T+kilka godzin | Wysłanie linku w e-mailu, komunikatorze lub podstawienie reklamy na odwiedzanej stronie | Ofiara otwiera stronę |
3. Przejęcie renderera | T+sekundy od otwarcia | Wykorzystanie innej luki do przejęcia procesu rysującego stronę | Kod działa, ale w piaskownicy |
4. Ucieczka z piaskownicy | T+sekundy | Wykorzystanie CVE-2026-5281 w Dawn | Kod działa z uprawnieniami pracownika |
5. Utrwalenie | T+minuty | Instalacja narzędzia zdalnego dostępu, kradzież haseł zapisanych w przeglądarce | Stały dostęp do komputera |
6. Wykorzystanie | T+dni | Kradzież dokumentów, dostęp do bankowości, dalszy ruch w sieci firmy | Wyciek danych, straty finansowe |
Przeglądarka jest na każdym komputerze i codziennie otwiera setki stron z zewnątrz. Luka ucieczki z piaskownicy zamienia „złą stronę” w dostęp do plików i haseł pracownika. Dobra wiadomość: naprawa to zwykła aktualizacja przeglądarki.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odizolowanie i reinstalacja zainfekowanych komputerów | Godziny do dni | 5 tys. do 40 tys. PLN (czas pracy, wsparcie IT) |
Bezpieczeństwo danych | Kradzież plików, haseł i sesji zapisanych w przeglądarce | Minuty od otwarcia strony | 20 tys. do 150 tys. PLN (analiza powłamaniowa, zmiana haseł) |
Finansowy | Nieautoryzowane operacje w bankowości, oszustwa na przelewach | Dni | 20 tys. do 400 tys. PLN, zależnie od uprawnień ofiary |
Reputacyjny | Wyciek danych klientów, np. w biurze rachunkowym | Tygodnie | 30 tys. do 300 tys. PLN (utracone umowy) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z nieaktualnymi przeglądarkami Chromium
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki, bo skutkiem jest wykonanie kodu z uprawnieniami pracownika; prawdopodobieństwo jest średnie, bo atak wymaga łańcucha dwóch luk i jest wąsko celowany, a nie masowy.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersje Chrome, Edge, Opery i innych przeglądarek Chromium na wszystkich komputerach | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Wymusić aktualizację do Chrome 146.0.7680.178 / Edge 146.0.3856.97 lub nowszych i ponowne uruchomienie przeglądarek | Dziś | Administrator IT |
3 | 🔴 NATYCHMIAST | Sprawdzić, czy automatyczne aktualizacje przeglądarek nie są wyłączone zasadami grupy lub ręcznie | Dziś | Administrator IT |
4 | 🟠 PILNIE | Zaktualizować pakiety chromium na komputerach z Linuksem (Debian DSA-6192-1, openSUSE-SU-2026:20460-1) | Do 3 dni | Administrator IT |
5 | 🟠 PILNIE | Sprawdzić inne aplikacje zbudowane na Chromium (np. przeglądarki wbudowane w programy) i ich aktualizacje | Do 7 dni | Dział IT |
6 | 🟡 WAŻNIE | Wprowadzić comiesięczny raport wersji przeglądarek na wszystkich komputerach | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Ograniczyć zapisywanie haseł w przeglądarce na rzecz firmowego menedżera haseł | Do 30 dni | CTO |
Producenci wydali poprawki, więc aktualizacja jest właściwym rozwiązaniem. Gdy nie da się jej wykonać od razu (np. stara wewnętrzna aplikacja wymaga konkretnej wersji), poniższe miary ograniczają ryzyko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie WebGPU zasadami przeglądarki (jeśli firma nie korzysta z aplikacji 3D w przeglądarce) | Średnia: odcina podatny komponent, ale nie zamyka innych luk tej wersji | Średnia |
Używanie starej wersji przeglądarki wyłącznie do jednej wewnętrznej aplikacji, a nowej do internetu | Średnia | Średnia |
Filtrowanie ruchu WWW i blokowanie nieznanych domen | Niska do średniej | Średnia |
Praca na kontach bez uprawnień administratora | Średnia: ogranicza skutki po ucieczce z piaskownicy | Łatwa do średniej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja przeglądarek | Różna, część sprzed 31 marca 2026 | Jednolita, z poprawką |
Skutek otwarcia złośliwej strony | Możliwa ucieczka z piaskownicy | Piaskownica zatrzymuje atak |
Automatyczne aktualizacje | Nieznany stan, czasem wyłączone | Włączone i raportowane |
Pozostałe luki z tej samej partii poprawek | Otwarte (openSUSE: 21 luk, w tym 3 w Dawn) | Zamknięte |
Status wobec terminu CISA | Zaległość od 15 kwietnia 2026 roku | Luka zamknięta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Google wie o exploicie używanym w atakach. Ocena CISA: wykorzystanie aktywne, bez automatyzacji, skutek techniczny całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg CISA (CVSS 3.1); 9.0 KRYTYCZNA wg Red Hat (CVSS 3.1, robocza) |
PoC dostępny publicznie? | Brak publicznych informacji o kodzie PoC |
Liczba atakowanych firm | Brak publicznych informacji; ataki ocenia się jako wąsko celowane |
Prognoza EPSS | 0,04938 (poniżej 5%), percentyl 0,91531, wartość lekko spadająca (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2026-5281
CVSS 3.1 (Red Hat) 9.0/10 ██████████████████░░ KRYTYCZNA
CVSS 3.1 (CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~4,9% █░░░░░░░░░░░░░░░░░░░ niska wartość
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-03-31 Google wydaje Chrome 146.0.7680.178 z poprawką
2026-04-01 Publikacja CVE w NVD; CISA dodaje lukę do KEV
2026-04-02 Microsoft wydaje Edge 146.0.3856.97
2026-04-03 openSUSE publikuje aktualizację chromium
2026-04-15 Termin naprawy wg CISA dla agencji federalnych
2026-07-24 Ostatnia aktualizacja wpisu w NVD
... ponad 5 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalna informacja Google o aktualizacji Chrome: chromereleases.googleblog.com . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-5281 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Poprosić o raport wersji przeglądarek na wszystkich komputerach firmy | CTO | DZISIAJ |
2 | Zatwierdzić wymuszenie aktualizacji i restartu przeglądarek, także w trakcie dnia pracy | CTO | DZISIAJ |
3 | Ustalić, czy jakakolwiek aplikacja blokuje aktualizację przeglądarek | CTO | DZISIAJ |
4 | Potwierdzić aktualizację komputerów z Linuksem i aplikacji opartych na Chromium | CTO | DO JUTRA |
5 | Przypomnieć pracownikom finansów i zarządu o ostrożności wobec linków od nieznanych nadawców | CFO | DO JUTRA |
6 | Zatwierdzić wdrożenie firmowego menedżera haseł, jeśli go nie ma | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest najstarsza wersja Chrome i Edge na komputerach w firmie? | [wersja] | 🔴 |
2 | Czy na wszystkich komputerach działa automatyczna aktualizacja przeglądarek? | TAK / NIE | 🔴 |
3 | Czy jakaś zasada grupy lub program blokuje aktualizację przeglądarki? | TAK / NIE | 🔴 |
4 | Kiedy ostatnio sprawdzono, że aktualizacje faktycznie się instalują? | [data] | 🟠 |
5 | Czy mamy komputery z Linuksem lub Operą i czy zostały zaktualizowane? | TAK / NIE | 🟠 |
6 | Czy pracownicy pracują na kontach z uprawnieniami administratora? | TAK / NIE | 🟠 |
7 | Czy korzystamy z aplikacji wymagających WebGPU w przeglądarce? | TAK / NIE | 🟡 |
CVE-2026-5281 w komponencie Dawn pozwala w łańcuchu z inną luką wyjść z piaskownicy przeglądarki Chrome, Edge lub Opery i uruchomić kod na komputerze pracownika. CISA potwierdza ataki, a termin naprawy minął 15 kwietnia 2026 roku; naprawa jest prosta, bo wystarczy aktualizacja przeglądarek i upewnienie się, że automatyczne aktualizacje naprawdę działają.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.