Błąd w warstwie graficznej ANGLE pozwala spreparowanej stronie uruchomić kod napastnika. Google potwierdził działający exploit, CISA wpisała lukę do KEV. Zaktualizuj Chrome, Edge, Operę, Safari i urządzenia Apple.
Ten alert jest dla zarządu, CTO i CFO wszystkich firm, bo dotyczy przeglądarek Chrome, Edge i Opera oraz Safari i urządzeń Apple. Werdykt: jeśli którakolwiek przeglądarka lub telefon służbowy nie ma aktualizacji z grudnia 2025 roku lub nowszej, zaktualizuj dziś, bo wystarczy otworzyć spreparowaną stronę, a Google potwierdził aktywne wykorzystanie tej luki.
Amerykańska agencja CISA 12 grudnia 2025 roku dopisała podatność CVE-2025-14174 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy ANGLE, warstwy graficznej przeglądarek opartych na Chromium, która tłumaczy polecenia rysowania ze stron internetowych na język karty graficznej. Spreparowana strona może sięgnąć poza przydzieloną pamięć i uruchomić kod napastnika na komputerze osoby, która tylko ją otworzyła.
Lukę zgłosiły 5 grudnia 2025 roku zespoły Apple Security Engineering and Architecture oraz Google Threat Analysis Group. Google napisał wprost, że wie o istnieniu działającego exploita. Ten sam kod graficzny trafił do kilku produktów, więc poprawki wydali Google, Microsoft, Apple i dystrybucje Linuksa. Termin naprawy wg CISA minął 2 stycznia 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-14174 |
Data dodania do CISA KEV | 2025-12-12 |
Termin naprawy wg CISA | 2026-01-02 (21 dni od wpisu) |
Produkt | Google Chromium, komponent ANGLE; CISA: dotyczy przeglądarek opartych na Chromium, m.in. Google Chrome, Microsoft Edge, Opera. NVD wymienia też produkty Apple |
Wersje zagrożone | Chrome starszy niż 143.0.7499.110 (macOS) i 143.0.7499.109 (Windows, Linux); Edge starszy niż 143.0.3650.80; Safari starsze niż 26.2; iOS i iPadOS starsze niż 18.7.3 oraz od 26.0 do wersji przed 26.2; macOS, tvOS, watchOS i visionOS starsze niż 26.2; WebKitGTK na Linuksie bez grudniowej poprawki |
Wersje bezpieczne | Chrome 143.0.7499.110 (macOS) lub 143.0.7499.109 (Windows, Linux) i nowsze; Edge 143.0.3650.80 i nowsze; Safari, macOS, iPadOS, iOS 26.2 i nowsze lub iOS/iPadOS 18.7.3 na starszej linii; WebKitGTK 2.50.4 (Red Hat). Najbezpieczniej: najnowsza dostępna wersja każdej przeglądarki i systemu |
Typ podatności | Dostęp do pamięci poza zakresem; NVD: CWE-787, CISA: CWE-119, Red Hat: CWE-823 |
Ocena CVSS | CISA (zapis w NVD): 8.8 (CVSS 3.1, WYSOKA). Atak przez sieć, niska złożoność, bez uprawnień, wymagany udział użytkownika (otwarcie strony). Google: istotność High |
Wyobraź sobie tłumacza w biurze, który przyjmuje pisma od klientów z całego świata i przepisuje je na polski dla działu realizacji. Ma na biurku formularz z polami określonej długości. Gdy pismo zawiera bardzo długi, sprytnie ułożony tekst, tłumacz nie przerywa, tylko pisze dalej poza polem, na sąsiednią kartkę z poleceniami dla działu realizacji. Dział wykonuje to, co przeczyta.
Tak działała ta luka. ANGLE przetwarza dane przysłane przez stronę internetową, czyli dane obce. Specjalnie przygotowana strona sprawiała, że zapis trafiał poza wyznaczony obszar pamięci, w miejsca, które przeglądarka wykorzystuje do sterowania swoim działaniem. Pracownikowi wystarczyło otworzyć link z maila, czatu czy wyników wyszukiwania.
💡 Chromium to otwarty silnik, na którym zbudowane są m.in. Chrome, Edge i Opera. ANGLE to warstwa tłumacząca grafikę ze stron na polecenia dla karty graficznej. WebKit to silnik przeglądarki Safari i niektórych programów na Linuksie. Exploit to gotowy kod wykorzystujący lukę. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera link z czatu | Przegląda stronę, nic więcej się nie dzieje | Strona może uruchomić kod napastnika |
Przeglądarka Edge „z systemu”, nikt jej nie używa świadomie | Aktualizuje się w tle | Bez restartu nadal działa stara, podatna wersja |
Telefon służbowy z Safari | Traktowany jak bezpieczne urządzenie | Podatny do czasu aktualizacji iOS |
Sprawdzenie wersji w firmie z Windows i Mac | Jeden numer wersji dla wszystkich | Różne numery bezpiecznych wersji dla różnych systemów |
Program na Linuksie wyświetlający strony (WebKitGTK) | Nie kojarzy się z przeglądarką | Wymaga osobnej aktualizacji pakietu |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, by ofiara otworzyła spreparowaną stronę, ale nie wymaga żadnego konta ani dostępu do sieci firmy. Apple opisał wykorzystanie bliźniaczej luki jako atak wymierzony w konkretne osoby, więc początkowo były to ataki ukierunkowane.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 min | Umieszczenie exploita na stronie przygotowanej lub przejętej przez napastnika | Pułapka w sieci |
2. Zwabienie | T+godziny do dni | Wysłanie linku mailem, komunikatorem lub przez reklamę | Ofiara otwiera stronę |
3. Wykorzystanie luki | T+sekundy od otwarcia | Spreparowana grafika wywołuje błąd pamięci w ANGLE | Kod napastnika działa w przeglądarce |
4. Wyjście poza przeglądarkę | T+minuty | Połączenie z kolejną luką, by opuścić izolację przeglądarki (typowe dla takich ataków) | Kontrola nad kontem użytkownika lub urządzeniem |
5. Kradzież danych | T+minuty do dni | Przechwycenie haseł zapisanych w przeglądarce, sesji, plików | Dostęp do poczty, chmury, bankowości |
6. Wykorzystanie dostępu | T+dni do tygodni | Szpiegowanie, oszustwa, dalsze ataki na firmę i jej klientów | Wyciek danych, straty finansowe |
Przeglądarka jest na każdym komputerze i telefonie, a otwieranie linków to podstawa pracy. Jeden błąd we wspólnym kodzie oznacza kilka produktów do zaktualizowania, a firmy najczęściej sprawdzają tylko Chrome i zamykają temat za wcześnie.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Czyszczenie zainfekowanych urządzeń, reset haseł i sesji | Dni od wykrycia | 10 tys. do 150 tys. PLN (prace IT, przestój) |
Bezpieczeństwo danych | Kradzież haseł z przeglądarek, dostęp do poczty, chmury, dokumentów klientów | Minuty do dni | 20 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Oszustwa na przelewach, przejęte konta bankowe i reklamowe | Dni do tygodni | 30 tys. do 500 tys. PLN łącznie |
Reputacyjny | Utrata zaufania klientów, których poufne materiały wyciekły | Miesiące | 20 tys. do 300 tys. PLN (utracone zlecenia) |
Prawny | Przy wycieku danych osobowych zgłoszenie do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z przeglądarkami lub urządzeniami Apple
bez aktualizacji z grudnia 2025
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest wysokie, bo wystarczy otwarcie strony, exploit działa w praktyce, a prognoza EPSS plasuje lukę wśród 3% najczęściej wykorzystywanych; wpływ nie jest maksymalny, bo do pełnego przejęcia urządzenia napastnik zwykle potrzebuje drugiej luki, a przeglądarki aktualizują się same, jeśli się je restartuje.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersje Chrome, Edge i Opery na wszystkich komputerach, osobno dla Windows, macOS i Linuksa | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Wymusić aktualizację i restart przeglądarek poniżej wersji bezpiecznych | Dziś | Administrator IT |
3 | 🔴 NATYCHMIAST | Sprawdzić i zaktualizować służbowe iPhone'y, iPady i Maki (iOS/iPadOS 26.2 lub 18.7.3, macOS 26.2, Safari 26.2 lub nowsze) | Do 2 dni | Administrator IT / pracownicy |
4 | 🟠 PILNIE | Zaktualizować pakiety WebKitGTK na komputerach i serwerach z Linuksem | Do 3 dni | Administrator IT |
5 | 🟠 PILNIE | Ustawić zasady wymuszające automatyczną aktualizację przeglądarek i restart po kilku dniach od pobrania poprawki | Do 7 dni | Administrator IT |
6 | 🟡 WAŻNIE | Dopisać do rejestru sprzętu telefony służbowe i programy zawierające silnik przeglądarki | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Przenieść hasła z przeglądarek do firmowego menedżera haseł z MFA | Do 60 dni | CTO |
Google, Microsoft, Apple i dystrybucje Linuksa wydali poprawki w grudniu 2025 roku, więc aktualizacja jest dostępna praktycznie wszędzie. Problem pojawia się przy urządzeniach, które nie dostają już nowych wersji systemu. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Restart przeglądarki, by dokończyć pobraną już aktualizację | Wysoka: to najczęstsza przyczyna starej wersji | Łatwa |
Przejście na inną, aktualną przeglądarkę na urządzeniu bez wsparcia | Średnia: na iOS wszystkie przeglądarki korzystają z WebKit, więc tam nie pomaga | Łatwa |
Filtrowanie ruchu WWW i blokada znanych złośliwych stron (DNS, serwer pośredniczący) | Niska do średniej: nie zatrzyma nowej strony z exploitem | Średnia |
Wyłączenie przyspieszenia grafiki w przeglądarce | Nieznana, brak rekomendacji producenta; może ograniczyć ścieżkę ataku kosztem wydajności | Łatwa |
Wymiana urządzeń bez wsparcia systemu | Wysoka, docelowe rozwiązanie | Trudna budżetowo |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Przeglądarki na komputerach | Różne wersje, część bez restartu | Wszystkie powyżej wersji bezpiecznych |
Urządzenia Apple | Poza kontrolą IT | Zaktualizowane systemy i Safari |
Linux i WebKitGTK | Pomijane | Pakiety zaktualizowane |
Weryfikacja wersji | Jedna lista dla wszystkich systemów | Osobne listy dla Windows, macOS, Linuksa i Apple |
Zgodność z wymogami | Zaległość wobec terminu CISA sprzed ponad 8 miesięcy | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Google: exploit istnieje i jest wykorzystywany; Apple: atak wymierzony w konkretne osoby (bliźniacza luka) |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg CISA (CVSS 3.1); istotność High wg Google |
PoC dostępny publicznie? | Brak publicznych informacji o ogólnodostępnym kodzie; szczegóły błędu w systemie zgłoszeń Chromium są zastrzeżone |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił | Apple Security Engineering and Architecture (SEAR) i Google Threat Analysis Group |
Prognoza EPSS | Ok. 22% szansy próby wykorzystania w 30 dni (sierpień 2026), wyżej niż 97% skatalogowanych podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-14174
CVSS 3.1 (CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~22% ████░░░░░░░░░░░░░░░░ percentyl 97+
CISA KEV TAK ████████████████████ ataki potwierdzone
Google: exploit TAK ████████████████████ w obiegu
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-12-05 Apple SEAR i Google TAG zgłaszają błąd w ANGLE
2025-12-10 Google wydaje Chrome 143.0.7499.109/.110
i potwierdza istnienie exploita
2025-12-11 Microsoft wydaje Edge 143.0.3650.80
2025-12-12 Publikacja CVE w NVD, CISA dodaje lukę do KEV
2025-12 Apple (Safari i systemy 26.2, iOS 18.7.3),
Red Hat (WebKitGTK 2.50.4) i Canonical wydają poprawki
2026-01-02 Termin naprawy wg CISA
2026-06-17 Ostatnia aktualizacja wpisu w NVD
2026-08 EPSS ok. 22%
2026-09-17: TUTAJ JESTEŚMY Komunikat Google o aktualizacji Chrome: chromereleases.googleblog.com . Informacje o poprawkach bezpieczeństwa Edge: learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-14174 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Uzyskać od IT raport wersji przeglądarek na wszystkich komputerach, z podziałem na systemy | CTO | DZISIAJ |
2 | Zatwierdzić wymuszony restart przeglądarek na komputerach z nieaktualną wersją | CTO | DZISIAJ |
3 | Polecić zarządowi i kadrze sprawdzenie aktualizacji iPhone'ów i iPadów | CTO | DZISIAJ |
4 | Zlecić ustawienie zasad automatycznej aktualizacji Chrome i Edge | CTO | DO JUTRA |
5 | Zlecić dopisanie telefonów służbowych do rejestru urządzeń | CTO | DO JUTRA |
6 | Zarezerwować budżet na narzędzie do zarządzania urządzeniami i menedżer haseł | CFO | DO JUTRA |
7 | Zaplanować wymianę urządzeń Apple, które nie dostają już aktualizacji systemu | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów ma Chrome poniżej 143.0.7499.109 (Windows, Linux) lub 143.0.7499.110 (macOS)? | [liczba] | 🔴 |
2 | Ile komputerów ma Edge poniżej 143.0.3650.80, także tam, gdzie nikt go nie używa? | [liczba] | 🔴 |
3 | Czy służbowe iPhone'y i iPady mają iOS/iPadOS 26.2 lub 18.7.3 albo nowsze? | TAK / NIE, [liczba bez aktualizacji] | 🔴 |
4 | Czy używamy Opery lub innych przeglądarek opartych na Chromium i czy są aktualne? | TAK / NIE | 🟠 |
5 | Czy mamy komputery z Linuksem i pakietem WebKitGTK bez grudniowej poprawki? | TAK / NIE | 🟠 |
6 | Czy przeglądarki aktualizują się automatycznie i wymuszają restart? | TAK / NIE | 🟠 |
7 | Czy pracownicy zapisują hasła firmowe w przeglądarkach? | TAK / NIE | 🟡 |
CVE-2025-14174 to błąd w warstwie graficznej ANGLE, który pozwala spreparowanej stronie uruchomić kod napastnika; Google potwierdził działający exploit, a CISA wpisała lukę do KEV w grudniu 2025 roku. Poprawki są dostępne dla Chrome, Edge, Opery, Safari, systemów Apple i WebKitGTK, więc zadanie na dziś to sprawdzić wersje we wszystkich tych produktach, z osobną listą dla każdego systemu, i wymusić restart przeglądarek.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.