Błąd w obsłudze CSS silnika Chromium pozwalał uruchomić cudzy kod po samym otwarciu strony. Google i CISA potwierdzają ataki. Sprawdź wersje Chrome, Edge i Opery na wszystkich komputerach i uruchom je ponownie.
Ten alert jest dla zarządu, CTO i CFO wszystkich firm, w których pracownicy korzystają z Chrome, Edge, Opery lub innej przeglądarki opartej na Chromium. Werdykt: sprawdź dziś, czy na każdym komputerze przeglądarka jest zaktualizowana i uruchomiona ponownie, bo samo otwarcie spreparowanej strony pozwalało uruchomić cudzy kod, a Google i CISA potwierdzają ataki.
Amerykańska agencja CISA 17 lutego 2026 roku dopisała CVE-2026-2441 do katalogu KEV, czyli listy podatności, o których ma dowody wykorzystania w prawdziwych atakach. Błąd siedzi w silniku Chromium, w części obsługującej CSS, czyli wygląd stron. Pozwala napastnikowi uruchomić kod wewnątrz piaskownicy przeglądarki, gdy użytkownik otworzy przygotowaną stronę. Google w ogłoszeniu poprawki napisał wprost, że wie o istnieniu exploita wykorzystywanego w atakach, czyli była to luka dnia zerowego.
Dotyczy to nie tylko Chrome: CISA wymienia także Microsoft Edge i Operę, bo korzystają z tego samego silnika. Termin naprawy wg CISA minął 10 marca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-2441 |
Data dodania do CISA KEV | 2026-02-17 |
Termin naprawy wg CISA | 2026-03-10 |
Produkt | Google Chromium (komponent CSS); przeglądarki na nim oparte, m.in. Google Chrome, Microsoft Edge, Opera |
Wersje zagrożone | Chrome przed 145.0.7632.75 (Windows, Linux) i przed 145.0.7632.76 (macOS); Edge przed 145.0.3800.58 (kanał stabilny) i przed 144.0.3719.130 (Extended Stable); inne przeglądarki Chromium bez poprawki od swojego producenta |
Wersje bezpieczne | Chrome 145.0.7632.75 (Windows, Linux) i 145.0.7632.76 (macOS), 13 lutego 2026; Edge 145.0.3800.58 (14 lutego 2026) i Extended Stable 144.0.3719.130 (17 lutego 2026). Najnowsza stabilna wersja Chrome dla Windows wg Google na 17 września 2026: 154.0.8037.44 |
Typ podatności | Użycie pamięci po zwolnieniu (use-after-free) prowadzące do uszkodzenia sterty i wykonania kodu; CWE-416 |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, zgodnie NVD, CISA-ADP, Google i Red Hat). Atak przez sieć, bez uprawnień, wymaga otwarcia strony przez użytkownika. Google: waga wysoka |
Wyobraź sobie firmę, która ma w notesie adres swojego magazynu. Magazyn zburzono, działka wróciła do gminy, ale notes nikt nie poprawił i kierowcy nadal wożą tam towar. Jeśli ktoś w międzyczasie postawi na tej działce własny budynek, przesyłki i instrukcje trafią do niego, a on może odesłać własne polecenia, które firma wykona jak swoje.
Tak działa błąd „użycia pamięci po zwolnieniu”. Przeglądarka rezerwuje kawałki pamięci na elementy strony, a potem je zwalnia. W wadliwym kodzie CSS zostawał stary adres i program jeszcze raz pod niego sięgał. Napastnik układa treść strony tak, żeby w zwolnionym miejscu znalazły się jego dane, a przeglądarka potraktowała je jak własne instrukcje. Wystarczy, że pracownik kliknie link, na przykład w wiadomości udającej fakturę.
💡 Chromium to otwarty silnik, na którym zbudowane są Chrome, Edge, Opera i wiele innych przeglądarek. CSS to język opisujący wygląd strony: kolory, czcionki, układ. Piaskownica (sandbox) to wydzielony obszar, w którym przeglądarka wykonuje treści stron, odgrodzony od plików na dysku; pełne przejęcie komputera wymaga drugiego błędu. Luka dnia zerowego to podatność wykorzystywana, zanim producent wydał poprawkę.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera link z wiadomości | Wyświetla się strona | Na stronie napastnika wykonuje się jego kod |
Zalogowane sesje w kartach (poczta, bank, CRM) | Dostępne tylko dla pracownika | Kod w piaskownicy przeglądarki działa tam, gdzie są te sesje |
Firma używa Chrome i Edge | Każda przeglądarka aktualizuje się sama | Zaktualizowanie jednej zostawia drugą podatną |
Przeglądarka pobrała aktualizację | Poprawka działa | Poprawka zaczyna działać dopiero po ponownym uruchomieniu |
Kanał wolniejszych aktualizacji (Edge Extended Stable) | Mniej zmian, większa stabilność | Poprawka dotarła 3 dni później |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Przeglądarki nie da się zaatakować skanowaniem internetu: to użytkownik musi wejść na stronę napastnika. Dlatego CISA ocenia, że atak nie jest automatyzowalny, a takie luki częściej służą do ataków na wybrane osoby i firmy.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 | Umieszczenie spreparowanej strony na własnym lub przejętym serwerze | Pułapka gotowa |
2. Zwabienie | T+godziny | Wysłanie wiadomości z linkiem (fałszywa faktura, awizo, dokument do podpisu) albo podstawienie strony w reklamie | Pracownik klika link |
3. Wykonanie kodu | T+sekundy od otwarcia | Wywołanie błędu CSS i uruchomienie kodu w piaskownicy przeglądarki | Kod napastnika działa w przeglądarce |
4. Wyjście z piaskownicy | T+sekundy do minut | Użycie drugiego, osobnego błędu, jeśli napastnik go ma | Możliwe przejęcie komputera |
5. Kradzież | T+minuty do godzin | Przejęcie sesji, haseł, danych z otwartych usług | Dostęp do poczty, banku, systemów firmowych |
6. Nadużycie | T+dni | Wysyłka wiadomości z firmowego adresu, zlecenia przelewów, dalsze włamania | Straty finansowe i wyciek danych |
W większości firm przeglądarka jest głównym środowiskiem pracy: poczta, bank, faktury, kadry, dysk z dokumentami. Kod wykonany w przeglądarce ma pod ręką zalogowane sesje do tych usług. Nie trzeba włamywać się na serwer, wystarczy jedno kliknięcie w link.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zmiana haseł, wylogowanie sesji we wszystkich usługach, przegląd komputerów | Godziny do dni | 10 tys. do 80 tys. PLN (praca IT, przestoje stanowisk) |
Bezpieczeństwo danych | Dostęp do poczty, dokumentów i systemów w chmurze przez przejęte sesje | Minuty do godzin | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Fałszywe przelewy, podmiana numerów kont w korespondencji z klientami | Dni | 20 tys. do 500 tys. PLN (zależnie od kwot przelewów) |
Reputacyjny | Wiadomości wyłudzające wysłane do klientów z firmowego adresu | Dni | 20 tys. do 200 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla komputerów z nieaktualną przeglądarką
opartą na Chromium
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie (atak dnia zerowego potwierdzony przez Google i CISA, publiczny kod PoC), a wpływ wysoki, ale nie maksymalny, bo kod działa w piaskownicy i wymaga kliknięcia; przy aktualnej, uruchomionej ponownie przeglądarce to ryzyko znika.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję każdej przeglądarki opartej na Chromium na wszystkich komputerach (Chrome, Edge, Opera, inne) | Dziś | Administrator / osoba odpowiedzialna za IT |
2 | 🔴 NATYCHMIAST | Wymusić ponowne uruchomienie przeglądarek, które pobrały aktualizację, ale nie zostały zrestartowane | Dziś | Administrator |
3 | 🟠 PILNIE | Zaktualizować lub usunąć przeglądarki nieobjęte firmowym standardem | Do 3 dni | Administrator |
4 | 🟠 PILNIE | Sprawdzić, czy automatyczne aktualizacje przeglądarek działają (nie są wyłączone polityką ani zablokowane) | Do 3 dni | Administrator |
5 | 🟠 PILNIE | Przypomnieć pracownikom zasady ostrożności przy linkach w wiadomościach o fakturach i płatnościach | Do 7 dni | Kierownik IT |
6 | 🟡 WAŻNIE | Wdrożyć centralne zarządzanie przeglądarkami (polityki, raport wersji, wymuszony restart) | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Włączyć weryfikację dwuetapową w poczcie, banku i systemach w chmurze | Do 30 dni | CTO |
Google i Microsoft wydali poprawki w lutym 2026 roku, więc dla Chrome i Edge aktualizacja jest dostępna. Problem dotyczy raczej przeglądarek mniej popularnych, starych systemów bez wsparcia lub komputerów z zablokowanymi aktualizacjami. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Przejście na przeglądarkę z aktualną poprawką na tym komputerze | Wysoka | Łatwa |
Filtrowanie stron przez firmowy DNS lub bramę WWW blokującą znane złośliwe adresy | Średnia: chroni przed znanymi adresami, nie przed nowymi | Średnia |
Oddzielny profil lub przeglądarka tylko do bankowości | Średnia: ogranicza skutki przejęcia sesji | Łatwa |
Szkolenie z rozpoznawania fałszywych wiadomości | Niska do średniej: zmniejsza liczbę kliknięć | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersje przeglądarek | Nieznane, różne na różnych komputerach | Spisane i zgodne z wersjami z poprawką |
Pobrane, ale nieaktywne aktualizacje | Przeglądarki otwarte od tygodni | Przeglądarki uruchomione ponownie |
Przeglądarki spoza standardu | Zapomniane, nieaktualizowane | Zaktualizowane lub usunięte |
Skutek kliknięcia w złośliwy link | Możliwe wykonanie kodu w przeglądarce | Ten błąd już nie działa |
Nadzór | Nikt nie sprawdza, czy automat aktualizacji działa | Raport wersji i odpowiedzialna osoba |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); Google: exploit istnieje i jest używany w atakach |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA (CVSS 3.1, NVD, CISA-ADP, Google, Red Hat) |
PoC dostępny publicznie? | TAK, NVD podlinkowuje publiczne repozytorium z kodem PoC na GitHub (jego działania nie weryfikowaliśmy); szczegóły w systemie zgłoszeń Chromium pozostają z ograniczonym dostępem |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,2202 (około 22%) według odczytu z 23 sierpnia 2026, percentyl 0,97539, czyli górne 2,5% wszystkich luk (wg analizy źródłowej) |
Kto zgłosił błąd | Shaheen Fazim, 11 lutego 2026 |
EPSS na poziomie 22% brzmi skromnie, ale wśród wszystkich znanych luk to bardzo wysoki wynik:
Sygnały zagrożenia dla CVE-2026-2441
CVSS 3.1 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~22% ████░░░░░░░░░░░░░░░░ wynik
EPSS percentyl 97,5 ███████████████████░ górne 2,5% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Atak dnia zerowego TAK ████████████████████ wg Google 2026-02-11 Shaheen Fazim zgłasza błąd do Google
2026-02-13 Chrome 145.0.7632.75/76 z poprawką, publikacja CVE
2026-02-14 Microsoft Edge 145.0.3800.58 z poprawką (kanał stabilny)
2026-02-17 CISA dodaje lukę do katalogu KEV
2026-02-17 Edge Extended Stable 144.0.3719.130 z poprawką
2026-02-18 CISA publikuje ocenę SSVC: wykorzystanie aktywne
2026-03-10 Termin naprawy wg CISA dla agencji federalnych
... ponad 6 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Ogłoszenie Google z poprawką: Chrome Releases, 13 lutego 2026 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-2441 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zlecić spis wersji wszystkich przeglądarek na komputerach firmowych | CTO | DZISIAJ |
2 | Wysłać do pracowników prośbę o zamknięcie i ponowne uruchomienie przeglądarek | CTO | DZISIAJ |
3 | Ustalić, kto odpowiada za sprawdzanie, czy aktualizacje przeglądarek się instalują | CTO | DZISIAJ |
4 | Potwierdzić, że komputery zarządu i księgowości mają aktualne przeglądarki | CTO | DO JUTRA |
5 | Sprawdzić procedurę weryfikacji zmian numerów kont u kontrahentów (telefon zwrotny) | CFO | DO JUTRA |
6 | Sprawdzić, czy bankowość firmowa wymaga dodatkowego potwierdzenia przelewów | CFO | DO JUTRA |
7 | Oszacować koszt narzędzia do centralnego zarządzania przeglądarkami | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie wersje Chrome mamy na komputerach firmowych? | [wersja] | 🔴 |
2 | Jakie wersje Edge i innych przeglądarek Chromium są w użyciu? | [wersja] | 🔴 |
3 | Czy wszystkie przeglądarki zostały uruchomione ponownie po aktualizacji? | TAK / NIE | 🔴 |
4 | Czy któryś komputer ma wyłączone lub zablokowane automatyczne aktualizacje? | TAK / NIE, [liczba] | 🟠 |
5 | Czy używamy kanału wolniejszych aktualizacji (np. Extended Stable)? | TAK / NIE | 🟠 |
6 | Czy mamy raport wersji przeglądarek z centralnego narzędzia? | TAK / NIE | 🟠 |
7 | Czy poczta, bank i systemy w chmurze mają włączoną weryfikację dwuetapową? | TAK / NIE | 🟡 |
CVE-2026-2441 to luka dnia zerowego w silniku Chromium: samo otwarcie spreparowanej strony w Chrome, Edge lub Operze bez poprawki pozwalało uruchomić kod w przeglądarce, obok zalogowanych sesji do poczty i banku. Poprawki są dostępne od lutego 2026 roku, a CISA potwierdza ataki, więc sprawdzenie wersji i ponowne uruchomienie przeglądarek na wszystkich komputerach to zadanie na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Błąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułCISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.