Spreparowana strona mogła wykorzystać błąd w silniku V8 przeglądarki Chrome. Google potwierdza exploit w atakach, CISA wpisała lukę do KEV. Zaktualizuj Chrome do 142.0.7444.175 i uruchom go ponownie.
Ten alert jest dla zarządu, CTO i CFO każdej firmy, w której pracownicy używają Google Chrome lub programów z wbudowanym silnikiem Chromium. Werdykt: jeśli Chrome na którymkolwiek komputerze ma wersję starszą niż 142.0.7444.175, zaktualizuj go i uruchom ponownie dziś, bo wejście na spreparowaną stronę mogło dać napastnikowi dostęp do komputera, a gotowy atak istniał, zanim wydano poprawkę.
Amerykańska agencja CISA 19 listopada 2025 roku dopisała podatność CVE-2025-13223 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w V8, silniku uruchamiającym kod stron internetowych w Chrome i innych programach opartych na Chromium. Spreparowana strona mogła wywołać pomyłkę typów w pamięci i doprowadzić do wykonania kodu napastnika.
Google wydało poprawkę 17 listopada 2025 roku i napisało wprost, że wie o istnieniu wykorzystywanego w atakach narzędzia (exploita). Błąd zgłosił 12 listopada zespół Google Threat Analysis Group, który śledzi ataki na realnych użytkowników. Termin naprawy wg CISA minął 10 grudnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-13223 |
Data dodania do CISA KEV | 2025-11-19 |
Termin naprawy wg CISA | 2025-12-10 (21 dni od wpisu) |
Produkt | Google Chromium V8, silnik JavaScript w Google Chrome; ten sam silnik jest w innych przeglądarkach i programach opartych na Chromium (w NVD wymieniono też oprogramowanie Siemens CADRA) |
Wersje zagrożone | Google Chrome starszy niż 142.0.7444.175; programy z wbudowanym Chromium do czasu aktualizacji przez ich producenta; pakiety Chromium w systemach bez wsparcia (np. Debian bullseye oznaczony jako podatny bez poprawki) |
Wersje bezpieczne | Chrome 142.0.7444.175 lub .176 (Windows), 142.0.7444.176 (Mac), 142.0.7444.175 (Linux) i każda nowsza wersja; Debian wydał poprawiony pakiet 19 listopada 2025 roku. Zalecana jest najnowsza wersja przeglądarki |
Typ podatności | Pomyłka typów (type confusion) prowadząca do uszkodzenia pamięci sterty; CWE-843 |
Ocena CVSS | 8.8/10 (CVSS 3.1, WYSOKA, ocena CISA w NVD; Red Hat podaje tę samą wartość); Chromium: waga wysoka. Atak przez sieć, bez logowania, wymaga wejścia użytkownika na stronę |
Wyobraź sobie silnik samochodu, do którego wlewa się paliwo z dowolnej stacji. Silnik ma filtr, który pilnuje, żeby do cylindrów trafiło tylko paliwo, a nie woda czy piasek. Ta luka to sytuacja, w której filtr myli jeden rodzaj cieczy z innym. Ktoś, kto przygotuje odpowiednią mieszankę, może sprawić, że silnik zacznie wykonywać ruchy, których konstruktor nigdy nie przewidział.
Każda strona internetowa zawiera kod, który V8 uruchamia na komputerze pracownika. Silnik ma trzymać ten kod w zamkniętym pudełku. Pomyłka typów polega na tym, że V8 odczytywał zwykłą liczbę tak, jakby była adresem w pamięci, i przechodził pod ten adres. Spreparowana strona podsuwała liczbę wybraną przez napastnika, a silnik lądował tam, gdzie napastnik chciał.
💡 V8 to silnik w Chrome, który uruchamia kod stron (JavaScript): mapy, formularze, wykresy w bankowości. Pomyłka typów to błąd, w którym program traktuje jeden rodzaj danych jak inny, np. liczbę jak adres w pamięci. Exploit to gotowe narzędzie wykorzystujące konkretną lukę. Chromium to otwarty projekt, na którym zbudowany jest Chrome i wiele innych przeglądarek oraz aplikacji. KEV to katalog CISA z lukami potwierdzonymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera link z e-maila | Strona działa w zamkniętym pudełku przeglądarki | Spreparowana strona może uruchomić kod poza nim |
Otwarte sesje bankowości i poczty | Chronione przed innymi stronami | Mogą zostać przejęte bez znajomości haseł |
Chrome pobrał aktualizację w tle | Poprawka działa | Poprawka nie działa, dopóki przeglądarka nie zostanie uruchomiona ponownie |
Program firmowy z wbudowanym Chromium | Aktualizuje go producent programu | Pozostaje podatny, choć Chrome jest już aktualny |
Stary system bez wsparcia | Poprawki przychodzą z systemem | Poprawki nie będzie |
źródło: Pexels, Mike BirdPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak przychodzi przez sieć i nie wymaga konta, ale pracownik musi wejść na spreparowaną stronę. CISA ocenia, że ataku nie da się w pełni zautomatyzować, bo napastnik musi ściągnąć ofiarę na stronę; w praktyce luki tego typu często łączy się z drugą, która pozwala wyjść poza ochronę przeglądarki.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie strony | T+0 | Umieszczenie exploita na własnej lub przejętej stronie | Pułapka gotowa |
2. Przynęta | T+godziny | Link w e-mailu, komunikatorze lub reklamie skierowany do wybranych osób | Pracownik otwiera stronę |
3. Wykorzystanie luki | T+sekundy od wejścia | Pomyłka typów w V8 i uszkodzenie pamięci | Kod napastnika działa w przeglądarce |
4. Wyjście poza przeglądarkę | T+sekundy do minut | Użycie dodatkowej luki lub przejęcie otwartych sesji | Dostęp do komputera lub kont online |
5. Kradzież | T+minuty do godzin | Przejęcie sesji bankowych, poczty, zapisanych haseł, instalacja narzędzi szpiegujących | Dane i dostępy u napastnika |
6. Nadużycie | T+dni | Przelewy, oszustwa na korespondencji, dalszy atak na sieć | Straty finansowe i incydent |
Przeglądarka to dziś najważniejsze narzędzie pracy: bankowość, poczta, systemy do faktur i portale urzędowe są w niej otwarte przez cały dzień. Luka w silniku przeglądarki uderza więc bezpośrednio w pieniądze i dane, a gotowy atak istniał, zanim ktokolwiek mógł zainstalować poprawkę.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte stanowiska, reinstalacja komputerów, blokada kont | Godziny do dni | 10 tys. do 80 tys. PLN (odtwarzanie, przestój) |
Bezpieczeństwo danych | Przejęcie sesji poczty i systemów online, kradzież haseł | Minuty od wejścia na stronę | 20 tys. do 150 tys. PLN (analiza, zmiana haseł, obsługa incydentu) |
Finansowy | Nieautoryzowane przelewy, oszustwa na podmianie rachunku | Godziny do dni | 50 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów po wycieku korespondencji | Tygodnie do miesięcy | 20 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputera z Chrome
starszym niż 142.0.7444.175
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest wysokie, bo exploit był używany w atakach, a przeglądarka daje dostęp do bankowości i poczty; nie jest maksymalne, bo atak wymaga wejścia pracownika na stronę i nie da się go masowo zautomatyzować, a Chrome w większości firm zaktualizował się już automatycznie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję Chrome na wszystkich komputerach (konsola zarządzania lub chrome://settings/help) | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Wymusić aktualizację i ponowne uruchomienie przeglądarki tam, gdzie wersja jest starsza niż 142.0.7444.175 | Dziś | Administrator IT / pracownicy |
3 | 🟠 PILNIE | Sprawdzić, czy ktoś nie wyłączył automatycznych aktualizacji Chrome, i przywrócić je | Do 3 dni | Administrator IT |
4 | 🟠 PILNIE | Zaktualizować inne przeglądarki oparte na Chromium (np. Microsoft Edge) do najnowszych wersji od ich producentów | Do 3 dni | Administrator IT |
5 | 🟠 PILNIE | Spisać programy z wbudowanym Chromium (w tym oprogramowanie przemysłowe, np. Siemens) i sprawdzić aktualizacje od ich producentów | Do 7 dni | Kierownik IT |
6 | 🟡 WAŻNIE | Wycofać przeglądanie stron na komputerach z systemami bez wsparcia (np. Debian bullseye) | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Oddzielić bankowość od zwykłego przeglądania: osobny profil przeglądarki lub osobne urządzenie do płatności | Do 30 dni | CFO / CTO |
Google wydało poprawkę dla Chrome na wszystkie systemy, więc na zwykłych komputerach wystarczy aktualizacja i ponowne uruchomienie. Poniższe miary dotyczą programów z wbudowanym Chromium i systemów bez wsparcia, dla których poprawki jeszcze nie ma. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Zakaz otwierania dowolnych stron w programach z wbudowanym Chromium, tylko zaufane adresy | Średnia do wysokiej | Średnia: zależy od programu |
Filtr DNS blokujący świeżo zarejestrowane i znane złośliwe domeny | Średnia: nie chroni przed przejętymi legalnymi stronami | Łatwa |
Osobny profil przeglądarki lub urządzenie tylko do bankowości | Średnia: ogranicza skutki | Łatwa |
Wymiana systemu bez wsparcia na wspierany | Wysoka | Średnia: wymaga planu migracji |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Chrome | Nieznana, czasem sprzed miesięcy | 142.0.7444.175 lub nowsza na każdym komputerze |
Ponowne uruchomienie przeglądarki | Odkładane tygodniami | Wymuszone po aktualizacji |
Programy z wbudowanym Chromium | Niezauważone | Spisane, z informacją o aktualizacjach |
Bankowość | W tej samej przeglądarce co poczta i linki | Oddzielona |
Zgodność z terminem CISA | Możliwa zaległość sprzed ponad 9 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Google: exploit istnieje i jest używany w atakach |
Grupy przestępcze | Brak publicznych informacji; błąd zgłosił Google Threat Analysis Group, zespół śledzący ataki na użytkowników |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8/10 WYSOKA (CVSS 3.1, CISA w NVD; Red Hat tak samo, na podstawie oceny producenta) |
PoC dostępny publicznie? | Brak publicznych informacji; szczegóły błędu w systemie zgłoszeń Chromium są zastrzeżone |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Wg CISA niemożliwa, bo wymaga wejścia użytkownika na stronę; skutek techniczny całkowity |
Prognoza EPSS | Ok. 5% szansy próby wykorzystania w ciągu 30 dni, percentyl ok. 91 (wg analizy źródłowej) |
Jak czytać te liczby: 5% brzmi nisko, ale wyprzedza 91% wszystkich skatalogowanych luk. O pilności decyduje tu nie sama ocena 8.8, tylko potwierdzone ataki i to, że exploit istniał przed poprawką.
Sygnały zagrożenia dla CVE-2025-13223
CVSS 3.1 (CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~5% █░░░░░░░░░░░░░░░░░░░ percentyl ~91
CISA KEV TAK ████████████████████ ataki potwierdzone
Exploit przed łatką TAK ████████████████████ wg Google
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-11-12 Google Threat Analysis Group zgłasza błąd
2025-11-17 Google wydaje Chrome 142.0.7444.175/.176, publikacja CVE w NVD
2025-11-19 CISA dodaje lukę do katalogu KEV
2025-11-19 Debian wydaje poprawiony pakiet Chromium
2025-12-10 Termin naprawy wg CISA dla agencji federalnych
2026-07-14 Ostatnia aktualizacja wpisu w NVD
... ponad 9 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta: chromereleases.googleblog.com/2025/11/stable-channel-update-for-desktop_17.html . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-13223 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać raport wersji Chrome i innych przeglądarek na wszystkich komputerach | CTO | DZISIAJ |
2 | Potwierdzić, że automatyczne aktualizacje przeglądarek są włączone wszędzie | CTO | DZISIAJ |
3 | Poprosić pracowników działu finansów o zamknięcie i ponowne otwarcie przeglądarki | CFO | DZISIAJ |
4 | Ustalić listę programów z wbudowaną przeglądarką i ich dostawców | CTO | DO JUTRA |
5 | Zdecydować o oddzieleniu bankowości od codziennego przeglądania | CFO | DO JUTRA |
6 | Sprawdzić, czy w firmie działają systemy bez wsparcia z przeglądarką | CTO | DO JUTRA |
7 | Przejrzeć historię przelewów pod kątem nietypowych operacji | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest najstarsza wersja Chrome w firmie? | [wersja] | 🔴 |
2 | Czy na wszystkich komputerach włączone są automatyczne aktualizacje przeglądarek? | TAK / NIE | 🔴 |
3 | Czy wymuszamy ponowne uruchomienie przeglądarki po aktualizacji? | TAK / NIE | 🔴 |
4 | Czy Microsoft Edge i inne przeglądarki oparte na Chromium są aktualne? | TAK / NIE | 🟠 |
5 | Które programy w firmie mają wbudowaną przeglądarkę? | [lista] | 🟠 |
6 | Ile komputerów działa na systemach bez wsparcia producenta? | [liczba] | 🟠 |
7 | Czy mamy filtr DNS blokujący złośliwe i świeżo zarejestrowane domeny? | TAK / NIE | 🟡 |
CVE-2025-13223 to luka w silniku V8 przeglądarki Chrome, którą napastnicy wykorzystywali, zanim wyszła poprawka, a wystarczyło wejście pracownika na spreparowaną stronę. Poprawka jest dostępna od 17 listopada 2025 roku, więc dziś trzeba potwierdzić wersję 142.0.7444.175 lub nowszą, wymusić ponowne uruchomienie przeglądarek i sprawdzić programy z wbudowanym Chromium.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.