Błąd w bibliotece graficznej Skia (CVE-2026-3909) pozwala przejąć przeglądarkę przez spreparowaną stronę. CISA potwierdza ataki. Zaktualizuj Chrome do 146.0.7680.80, Edge do 146.0.3856.62 i sprawdź inne programy ze Skia.
Ten alert jest dla zarządu, CTO i CFO firm, których pracownicy korzystają z Chrome, Edge lub innych programów opartych na Chromium, a także firm z serwerami i urządzeniami na Linuksie. Werdykt: jeśli przeglądarka ma wersję starszą niż Chrome 146.0.7680.80 lub Edge 146.0.3856.62, zaktualizuj ją dziś i sprawdź programy poza przeglądarką, bo CISA potwierdza ataki przez zwykłe strony internetowe.
Amerykańska agencja CISA 13 marca 2026 roku dopisała podatność CVE-2026-3909 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w Skia, bibliotece graficznej Google, która zamienia opis strony internetowej na obraz na ekranie. Wystarczy wejść na spreparowaną stronę, żeby napastnik mógł zapisać dane w pamięci poza przeznaczonym obszarem i w efekcie przejąć kontrolę nad przeglądarką.
CISA dodała rzadką adnotację: Skia to wspólny komponent open source, wbudowany w wiele produktów (Chrome, ChromeOS, Android, Flutter i możliwe, że inne), więc status poprawki trzeba sprawdzać u każdego dostawcy osobno. Termin naprawy minął 27 marca 2026 roku, prawie pół roku temu.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-3909 (w europejskiej bazie ENISA: EUVD-2026-11734) |
Data dodania do CISA KEV | 2026-03-13 |
Termin naprawy wg CISA | 2026-03-27 (14 dni od wpisu) |
Produkt | Google Skia (biblioteka graficzna); według CISA dotyczy Google Chrome, ChromeOS, Androida, Fluttera i możliwe, że innych produktów; potwierdzone także w Microsoft Edge i pakietach chromium w Linuksie |
Wersje zagrożone | Opis NVD: Chrome starszy niż 146.0.7680.75. Konfiguracja techniczna NVD (używana przez skanery): Chrome starszy niż 146.0.7680.80. Microsoft Edge starszy niż 146.0.3856.62. Debian: pakiety chromium bez poprawki z DSA-6165-1; gałąź bullseye bez poprawki (pakiet wycofany z utrzymania) |
Wersje bezpieczne | Chrome 146.0.7680.80 lub nowszy (przy dwóch sprzecznych progach bezpieczny jest wyższy). Edge 146.0.3856.62 lub nowszy (16 marca 2026). Debian: chromium 146.0.7680.80-1~deb12u1 (bookworm) i 146.0.7680.80-1~deb13u1 (trixie). Pozostałe produkty ze Skia: według komunikatów ich producentów |
Typ podatności | Zapis poza granicami bufora w pamięci; CWE-787 |
Ocena CVSS | NVD: 8.8 (CVSS 3.1, WYSOKA); CISA: 8.8 (CVSS 3.1, WYSOKA), ten sam wektor. Atak przez sieć, niska złożoność, bez uprawnień, wymaga wejścia użytkownika na stronę; wysoki wpływ na poufność, integralność i dostępność. Google: waga wysoka (High) |
Wyobraź sobie księgę wieczystą, w której każda nieruchomość ma swoją rubrykę o stałej liczbie wierszy. Urzędnik wpisuje dane i powinien pilnować, żeby nie wyjść poza ostatni wiersz. Jeśli ktoś tak przygotuje wniosek, że wpis „przeleje się” do rubryki sąsiada, może zmienić nie tylko jego dane, ale i adnotację, kto jest właścicielem. Nikt tego nie widzi, bo wniosek wyglądał zwyczajnie.
Tak działa zapis poza buforem. Skia rysuje stronę, zapisując dane w wydzielonych fragmentach pamięci. Spreparowana strona sprawia, że dane trafiają poza przeznaczone miejsce, w pamięć, w której leżą wskazówki, co program ma zrobić dalej. Pracownik nie musi niczego pobierać ani klikać w załącznik: wystarczy, że otworzy stronę, a może to być zwykły serwis z podmienioną reklamą.
💡 Bufor to fragment pamięci o ustalonym rozmiarze. Zapis poza buforem (out-of-bounds write) oznacza zapis danych w pamięci należącej do czegoś innego. Chromium to otwarty projekt, na którym zbudowane są Chrome, Edge i wiele innych przeglądarek. Skia to biblioteka rysująca grafikę, używana przez Chrome, Androida i aplikacje we Flutterze. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera stronę dostawcy | Strona się wyświetla | Spreparowana strona może przejąć kontrolę nad przeglądarką |
Reklama na znanym portalu | Nieszkodliwy obrazek | Może prowadzić do strony z atakiem |
Chrome aktualizuje się sam | Problem zamknięty | Zamknięty tylko w Chrome; Edge, stare systemy i aplikacje ze Skia wymagają osobnego sprawdzenia |
Skaner sprawdza wersję 146.0.7680.78 | Jedna odpowiedź | Opis NVD mówi „bezpieczna”, konfiguracja NVD mówi „podatna” |
Stary serwer z Debianem bullseye | Działa latami bez zmian | Pakiet chromium bez poprawki i bez szans na nią |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga, żeby ofiara weszła na przygotowaną stronę, dlatego CISA ocenia, że nie da się go zautomatyzować i skierować na dowolny adres. Microsoft odnotowuje, że Google wie o działającym exploicie używanym w atakach.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie strony | T+0 | Umieszczenie kodu ataku na własnej stronie, przejętym serwisie lub w reklamie | Pułapka czeka na odwiedzających |
2. Zwabienie ofiary | T+godziny do dni | Link w e-mailu, komunikatorze lub reklamie kierowanej do wybranej branży | Pracownik otwiera stronę |
3. Wykorzystanie luki | T+sekundy od otwarcia | Spreparowana grafika powoduje zapis poza buforem w Skia | Kod napastnika działa w przeglądarce |
4. Wyjście poza przeglądarkę | T+minuty | Połączenie z drugą luką, aby wydostać się z izolacji przeglądarki (typowe dla takich ataków) | Dostęp do komputera |
5. Kradzież danych logowania | T+minuty do godzin | Przejęcie zapisanych haseł, ciasteczek sesji, dostępów do poczty i systemów w chmurze | Konta firmowe w rękach napastnika |
6. Dalszy atak | T+dni | Logowanie do systemów firmy przejętymi sesjami, kradzież danych | Wyciek, oszustwa, przygotowanie ransomware |
Przeglądarka jest najczęściej używanym programem w każdej firmie i jedynym, który codziennie przetwarza treści z tysięcy obcych serwerów. Luka nie wymaga pobrania pliku ani podania hasła. Jednocześnie Skia siedzi w programach, których nikt nie kojarzy z przeglądarką, więc automatyczna aktualizacja Chrome nie zamyka sprawy.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęte stacje robocze i terminale do reinstalacji; wymiana systemów bez poprawki | Dni | 20 tys. do 250 tys. PLN (reinstalacja, wymiana starych systemów) |
Bezpieczeństwo danych | Kradzież haseł, sesji i dokumentów z przejętej przeglądarki | Minuty do godzin | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Wyłudzenia z przejętych skrzynek, koszty obsługi incydentu, ewentualny okup | Tygodnie | 50 tys. do 700 tys. PLN łącznie |
Reputacyjny | Kontrahenci dostają oszukańcze wiadomości z Twoich kont | Tygodnie do miesięcy | 20 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z nieaktualną przeglądarką
lub programami ze Skia bez poprawki
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (przejęcie przeglądarki z dostępem do sesji i danych), prawdopodobieństwo wysokie, bo ataki są potwierdzone, a przeglądarkę ma każdy; nie najwyższe, bo atak wymaga odwiedzenia strony, nie jest masowy, a Chrome zwykle aktualizuje się sam.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić faktyczną wersję Chrome na komputerach (okno „O przeglądarce”, nie założenie) i wymusić 146.0.7680.80 lub nowszą | Dziś | Dział IT |
2 | 🔴 NATYCHMIAST | Sprawdzić osobno Microsoft Edge (146.0.3856.62 lub nowszy); ma własny numer i harmonogram | Dziś | Dział IT |
3 | 🔴 NATYCHMIAST | Wymusić ponowne uruchomienie przeglądarek; aktualizacja działa dopiero po restarcie programu | Dziś | Dział IT |
4 | 🟠 PILNIE | Spisać systemy z Linuksem i przeglądarką Chromium; zaktualizować pakiety wg DSA-6165-1 lub odpowiednika dystrybucji | Do 3 dni | Administrator serwerów |
5 | 🟠 PILNIE | Zaplanować wymianę systemów, dla których poprawki nie będzie (np. Debian bullseye z chromium) | Do 14 dni | CTO |
6 | 🟠 PILNIE | Sprawdzić urządzenia z Androidem i ChromeOS oraz aplikacje oparte na Flutterze pod kątem aktualizacji od ich producentów | Do 7 dni | Dział IT |
7 | 🟡 WAŻNIE | Ustawić w skanerze podatności próg 146.0.7680.80 dla Chrome, a nie 146.0.7680.75 | Do 7 dni | Dział IT |
Google, Microsoft i Debian wydały poprawki, a żadne dostępne źródło nie podaje ustawienia ani funkcji, której wyłączenie zamknęłoby lukę. Dla systemów bez poprawki jedynym rozwiązaniem docelowym jest wymiana systemu lub programu. Poniższe miary tylko zmniejszają ryzyko; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ograniczenie przeglądarki na starym systemie wyłącznie do wewnętrznego panelu (blokada internetu) | Wysoka dla tego urządzenia | Średnia |
Filtrowanie ruchu WWW i blokowanie reklam na poziomie firmy | Średnia: ogranicza źródła złośliwych stron | Średnia |
Przeniesienie pracy z nieaktualnej przeglądarki do aktualnej | Wysoka | Łatwa, jeśli system działa w nowszej przeglądarce |
Odseparowanie urządzeń bez poprawki od reszty sieci | Średnia: ogranicza skutki, nie blokuje ataku | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Chrome | „Aktualizuje się sam”, bez sprawdzenia | Potwierdzona wersja 146.0.7680.80 lub nowsza |
Edge | Pomijany, bo „główną przeglądarką jest Chrome” | Potwierdzona wersja 146.0.3856.62 lub nowsza |
Linux i stare terminale | Nieznana liczba i wersje | Spis, aktualizacja lub plan wymiany |
Skaner podatności | Może raportować fałszywe „bezpieczne” | Próg zgodny z wyższą wersją |
Zgodność z wymogami | Prawie 6 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Microsoft i Debian podają, że Google wie o exploicie używanym w atakach |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg NVD i CISA (CVSS 3.1), oceny identyczne |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Nie (ocena CISA): ofiara musi wejść na stronę |
Inni dostawcy | Microsoft Edge (poprawka 16 marca 2026), Debian DSA-6165-1 (bookworm, trixie; bullseye bez poprawki), Red Hat: waga „ważna” (zgłoszenie 2447195) |
Prognoza EPSS | 0,016 (ok. 1,6%), percentyl ok. 74; wartość bez zmian od 24 lipca do 23 sierpnia 2026 (wg analizy źródłowej) |
Płaski i niski EPSS oznacza, że atak nie jest masowy, a nie że go nie ma:
Sygnały zagrożenia dla CVE-2026-3909
CVSS 3.1 (NVD) 8.8/10 ██████████████████░░ WYSOKA
CVSS 3.1 (CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~1,6% ░░░░░░░░░░░░░░░░░░░░ percentyl ok. 74
CISA KEV TAK ████████████████████ ataki potwierdzone
Exploit w atakach TAK ████████████████████ wg Google (za Microsoft) 2026-03-12 Ujawnienie wg Red Hat, publikacja w bazie ENISA
2026-03-13 Google wydaje aktualizację stabilną Chrome 146
2026-03-13 Publikacja w NVD, CISA dodaje lukę do KEV
2026-03-13 ENISA notuje początek wykorzystania
2026-03-16 Microsoft Edge 146.0.3856.62, Debian DSA-6165-1
2026-03-24 Aktualizacja wpisu w bazie ENISA
2026-03-27 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 6 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat Google o aktualizacji Chrome: chromereleases.googleblog.com: Stable Channel Update for Desktop . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-3909 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Poprosić dział IT o raport rzeczywistych wersji Chrome i Edge na wszystkich komputerach | CTO | DZISIAJ |
2 | Zatwierdzić wymuszenie restartu przeglądarek u pracowników | CTO | DZISIAJ |
3 | Zlecić spis urządzeń z Linuksem, Androidem i ChromeOS oraz aplikacji na Flutterze | CTO | DO JUTRA |
4 | Ustalić, które systemy nie dostaną poprawki i wymagają wymiany | CTO | DO JUTRA |
5 | Zarezerwować budżet na wymianę starych terminali i serwerów bez wsparcia | CFO | DO JUTRA |
6 | Sprawdzić, czy skaner podatności używa progu 146.0.7680.80 | CTO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące nieaktualnego oprogramowania | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest najstarsza wersja Chrome w firmie? | [wersja] | 🔴 |
2 | Jaka jest najstarsza wersja Edge w firmie? | [wersja] | 🔴 |
3 | Czy przeglądarki zostały ponownie uruchomione po aktualizacji? | TAK / NIE | 🔴 |
4 | Czy mamy systemy z Debianem bullseye lub innym Linuksem bez wsparcia, na których działa Chromium? | TAK / NIE | 🟠 |
5 | Ile urządzeń z Androidem i ChromeOS nie dostaje już aktualizacji? | [liczba] | 🟠 |
6 | Jaki próg wersji Chrome ustawiono w skanerze podatności? | [wersja] | 🟠 |
7 | Kiedy ostatnio spisywaliśmy oprogramowanie na terminalach i komputerach produkcyjnych? | [data] | 🟡 |
CVE-2026-3909 w bibliotece Skia pozwala przejąć przeglądarkę przez samo otwarcie strony, a CISA potwierdza ataki. Aktualizacja Chrome do 146.0.7680.80 i Edge do 146.0.3856.62 to zadanie na dziś, ale równie ważne jest sprawdzenie Linuksa, Androida i aplikacji ze Skia, bo tam automatyczne aktualizacje przeglądarki nie sięgają.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.