Google potwierdza exploit dla luki w silniku V8, która pozwala przejąć przeglądarkę po wejściu na przygotowaną stronę. Zaktualizuj Chrome do 152.0.7977.82 lub nowszej, Edge i inne przeglądarki Chromium.
Ten alert jest dla zarządu, CTO i CFO wszystkich firm, w których pracownicy korzystają z Google Chrome, Microsoft Edge lub innych przeglądarek opartych na Chromium. Werdykt: jeśli Chrome ma wersję starszą niż 152.0.7977.82, zaktualizuj i uruchom go ponownie dziś, bo Google potwierdza istnienie exploita, a do wykorzystania luki wystarczy wejście na przygotowaną stronę.
3 września 2026 roku Google wydał aktualizację Chrome, która usuwa 12 luk, w tym CVE-2026-85046 w silniku V8. Google poinformował, że wie o exploicie dla tej luki wykorzystywanym w realnych warunkach. Następnego dnia amerykańska agencja CISA dopisała ją do katalogu KEV, czyli listy podatności, co do których ma dowody wykorzystania w prawdziwych atakach, z terminem naprawy 18 września 2026 roku.
Błąd polega na pomyleniu typów danych w silniku, który wykonuje kod JavaScript na stronach. Napastnik może przygotować stronę, po której otwarciu uruchomi własny kod w przeglądarce, w jej izolowanym środowisku (piaskownicy). Według CISA problem może dotyczyć wszystkich przeglądarek opartych na Chromium. To szósta wykorzystywana luka w Chrome załatana w 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-85046 |
Data dodania do CISA KEV | 2026-09-04 |
Termin naprawy wg CISA | 2026-09-18 |
Produkt | Google Chromium V8 (silnik JavaScript), w tym Google Chrome; wg CISA także inne przeglądarki oparte na Chromium, np. Microsoft Edge i Opera |
Wersje zagrożone | Google Chrome przed 152.0.7977.82; silnik V8 przed 15.3.48 (wg NVD). Atak wymaga otwarcia przez użytkownika spreparowanej strony |
Wersje bezpieczne | Chrome 152.0.7977.82/.83 (Windows, Mac) i 152.0.7977.82 (Linux) lub nowsze. Microsoft Edge: 152.0.4191.62 lub nowszy wg Microsoft; najnowsze wydanie Edge Stable w notach to 153.0.4234.32 z 10 września 2026 |
Typ podatności | Pomylenie typów (type confusion) w V8, wykonanie kodu w piaskownicy; CWE-843 |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, CISA ADP): atak przez sieć, bez uprawnień, wymaga udziału użytkownika, pełny wpływ w obrębie przeglądarki. Waga wg Google (Chromium): wysoka |
Wyobraź sobie tłumacza, który czyta dokumenty przysyłane do firmy i wykonuje zawarte w nich polecenia, ale tylko w zamkniętym pokoju bez dostępu do reszty biura. Ktoś przysłał dokument, w którym tabela z liczbami została tak sprytnie opisana, że tłumacz wziął ją za listę kluczy. Od tej chwili nadawca może wydawać tłumaczowi dowolne polecenia w tym pokoju, a przy odrobinie szczęścia szukać drogi na korytarz.
Tak działa ta luka. Silnik V8 wykonuje skrypty każdej odwiedzanej strony. Błąd sprawia, że silnik myli jeden rodzaj danych z innym, a spreparowana strona może to wykorzystać do uruchomienia kodu w przeglądarce. Piaskownica ogranicza skutki, ale napastnicy często łączą taki błąd z drugą luką, aby się z niej wydostać.
💡 V8 to silnik JavaScript w Chrome i innych przeglądarkach opartych na Chromium. Chromium to otwarty projekt, na którym bazują Chrome, Edge, Opera, Brave i Vivaldi. Piaskownica (sandbox) to izolowane środowisko, które ma nie dopuścić, by kod ze strony dostał się do systemu. Exploit to narzędzie do wykorzystania luki. Aktualizacja stopniowa oznacza, że nowa wersja trafia do użytkowników przez kilka dni lub tygodni.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Wejście na stronę z reklamą lub linkiem z e-maila | Strona tylko się wyświetla | Strona może uruchomić kod napastnika w przeglądarce |
Dane w otwartych kartach | Oddzielone od siebie | Zagrożone w obrębie przejętego procesu |
Pobrana aktualizacja Chrome bez restartu | Poczucie bezpieczeństwa | Stara, podatna wersja nadal działa |
Edge, Opera, Brave | Traktowane jako osobny problem | Ten sam silnik, ta sama luka do czasu ich aktualizacji |
źródło: freepik.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu: Google nie ujawnił szczegółów ataków. Do wykorzystania luki potrzebne jest, by ofiara otworzyła przygotowaną stronę.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T-dni | Umieszczenie złośliwego kodu na stronie, w reklamie lub na przejętej witrynie branżowej | Pułapka gotowa |
2. Zwabienie | T+0 | Link w e-mailu, komunikatorze lub wyniku wyszukiwania | Pracownik otwiera stronę |
3. Wykorzystanie luki | T+sekundy | Uruchomienie kodu w przeglądarce | Kod napastnika w piaskownicy |
4. Ucieczka z piaskownicy | T+sekundy do minut | Połączenie z drugą luką (jeśli napastnik ją ma) | Dostęp do komputera |
5. Działania dalsze | T+godziny | Kradzież haseł i sesji, instalacja szkodnika | Przejęcie kont i danych |
Przeglądarka to najczęściej używany program w firmie i główne okno na internet. Aktualizacja Chrome przychodzi automatycznie, ale zaczyna działać dopiero po ponownym uruchomieniu, a wiele osób nie zamyka przeglądarki tygodniami. Do tego dochodzą inne przeglądarki oparte na Chromium, które dostają poprawki własnym rytmem.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Czyszczenie lub reinstalacja zainfekowanych komputerów | Dni | 5 tys. do 80 tys. PLN (praca IT, przestój pracowników) |
Bezpieczeństwo danych | Kradzież haseł, sesji i plików z komputera pracownika | Minuty do godzin | 20 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Przejęcie bankowości, oszustwa na przelewy, dalszy atak ransomware | Godziny do tygodni | 50 tys. do 1 mln PLN łącznie |
Reputacyjny | Wysyłka oszukańczych wiadomości z przejętych kont firmowych | Dni | 20 tys. do 300 tys. PLN |
Prawny | Przy danych osobowych zgłoszenie do UODO w 72 godziny i możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnych kar |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla przeglądarek Chromium bez poprawki CVE-2026-85046
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie, bo exploit istnieje, opis techniczny jest publiczny, a przeglądarek używa każdy pracownik; wpływ jest wysoki, a nie maksymalny, bo sama luka daje kod w piaskownicy i wymaga otwarcia strony przez użytkownika.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Wymusić aktualizację Chrome do 152.0.7977.82 lub nowszej na wszystkich komputerach | Dziś | Administrator |
2 | 🔴 NATYCHMIAST | Wymusić ponowne uruchomienie przeglądarek (polityka lub komunikat do pracowników) | Dziś | Administrator |
3 | 🔴 NATYCHMIAST | Zaktualizować Microsoft Edge do najnowszej wersji Stable | Dziś | Administrator |
4 | 🟠 PILNIE | Spisać i zaktualizować inne przeglądarki oparte na Chromium (Opera, Brave, Vivaldi) | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Sprawdzić w konsoli zarządzania, ile komputerów ma starą wersję przeglądarki | Do 3 dni | Kierownik IT |
6 | 🟡 WAŻNIE | Wprowadzić stałą politykę automatycznych aktualizacji i restartu przeglądarek | Do 30 dni | CTO |
Google wydał poprawkę i nie podaje obejścia. Aktualizacja trafia do użytkowników stopniowo, więc warto ją wymusić ręcznie lub przez konsolę zarządzania. Dla innych przeglądarek poprawki mogą przychodzić z opóźnieniem. Poniższe środki ograniczają ryzyko, nie usuwają luki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ręczne wymuszenie aktualizacji i restartu przeglądarki | Wysoka | Łatwa |
Czasowe przejście pracowników na zaktualizowaną przeglądarkę, gdy inna czeka na poprawkę | Wysoka | Łatwa do średniej |
Filtrowanie ruchu WWW i blokada podejrzanych domen | Średnia | Średnia |
Przypomnienie pracownikom o ostrożności wobec linków w e-mailach i komunikatorach | Niska do średniej | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Chrome | Starsza niż 152.0.7977.82 | 152.0.7977.82 lub nowsza |
Restart przeglądarki | Odkładany tygodniami | Wymuszony polityką |
Inne przeglądarki Chromium | Poza kontrolą IT | Spisane i aktualizowane |
Wiedza o stanie aktualizacji | Brak | Raport z konsoli zarządzania |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA; Google: exploit istnieje w realnych warunkach) |
Grupy przestępcze | Brak publicznych informacji; Google nie ujawnił sprawców ani celów |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA (CISA ADP, CVSS 3.1); waga Chromium: wysoka |
PoC dostępny publicznie? | TAK: badacz, który zgłosił lukę, opublikował opis techniczny z fragmentami kodu |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił lukę | Salvatore Gulizia (Serotav), 4 sierpnia 2026, nagroda 1000 USD |
Kontekst 2026 | Szósta wykorzystywana luka Chrome w tym roku (wg BleepingComputer) |
Wykorzystywane luki w Chrome załatane w 2026 roku (wg mediów)
CVE-2026-2441 luty █
CVE-2026-3909 marzec █
CVE-2026-3910 marzec █
CVE-2026-5281 kwiecień █
CVE-2026-11645 czerwiec █
CVE-2026-85046 wrzesień █ ← ten alert 2026-08-04 Salvatore Gulizia zgłasza lukę do Google
2026-09-02 Microsoft Edge 152.0.4191.62 z poprawką (wg Microsoft)
2026-09-03 Chrome 152.0.7977.82/.83; Google potwierdza exploit; publikacja CVE
2026-09-04 CISA dodaje lukę do katalogu KEV
2026-09-08 NVD kończy analizę wpisu
2026-09-10 Microsoft Edge Stable 153.0.4234.32
2026-09-17: TUTAJ JESTEŚMY
2026-09-18 Termin naprawy wg CISA Komunikat Google: Chrome Releases, 3 września 2026 . Poprawki Edge: Microsoft Edge Security Updates . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-85046 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać raport: ile komputerów ma Chrome lub Edge bez poprawki | CTO | DZISIAJ |
2 | Zatwierdzić wymuszony restart przeglądarek w godzinach pracy | CTO | DZISIAJ |
3 | Ustalić, jakie inne przeglądarki są używane w firmie | CTO | DO JUTRA |
4 | Sprawdzić, czy firma ma narzędzie do centralnego zarządzania aktualizacjami; jeśli nie, oszacować koszt | CFO | DO JUTRA |
5 | Przypomnieć zespołom finansowym o weryfikacji nietypowych zleceń przelewów | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów ma Chrome starszy niż 152.0.7977.82? | [liczba] | 🔴 |
2 | Czy wymuszamy restart przeglądarki po aktualizacji? | TAK / NIE | 🔴 |
3 | Jaka wersja Microsoft Edge działa na komputerach firmowych? | [wersja] | 🔴 |
4 | Czy pracownicy używają Opery, Brave lub Vivaldi i kto je aktualizuje? | TAK / NIE | 🟠 |
5 | Czy mamy centralny raport wersji przeglądarek? | TAK / NIE | 🟠 |
6 | Kiedy ostatnio sprawdziliśmy komputery osób pracujących z domu? | [data] | 🟠 |
7 | Czy blokujemy wejścia na znane złośliwe domeny? | TAK / NIE | 🟡 |
CVE-2026-85046 to wykorzystywana luka w silniku V8, która pozwala przejąć przeglądarkę po wejściu na przygotowaną stronę i dotyczy Chrome oraz innych przeglądarek opartych na Chromium. Poprawka jest dostępna od 3 września 2026 roku, ale działa dopiero po ponownym uruchomieniu przeglądarki. Wymuszenie aktualizacji i restartu Chrome, Edge i pozostałych przeglądarek to zadanie na dziś, a centralne zarządzanie aktualizacjami to inwestycja, która przy kolejnych takich lukach zwraca się wielokrotnie.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.