Błąd w silniku V8 (CVE-2025-5419) pozwala przejąć Chrome, Edge i inne przeglądarki na Chromium przez spreparowaną stronę. Google potwierdza exploit w atakach. Zaktualizuj każdą przeglądarkę na każdym komputerze.
Ten alert jest dla zarządu, CTO i CFO firm, których pracownicy korzystają z Chrome, Edge, Opery lub innych przeglądarek opartych na Chromium. Werdykt: jeśli na firmowych komputerach jest Chrome starszy niż 137.0.7151.68 albo Edge starszy niż 137.0.3296.62, zaktualizuj wszystkie przeglądarki na każdym komputerze dziś, bo Google potwierdził działający w atakach exploit, a CISA wpisała lukę do katalogu KEV.
Amerykańska agencja CISA 5 czerwca 2025 roku dopisała podatność CVE-2025-5419 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w V8, silniku wykonującym JavaScript w Chrome i innych przeglądarkach na Chromium. Spreparowana strona może odczytywać i zapisywać dane poza przydzielonym obszarem pamięci, co pozwala napastnikowi przejąć kontrolę nad przeglądarką.
Lukę wykryli badacze Google Threat Analysis Group 27 maja 2025 roku, a Google napisał wprost, że exploit istnieje i jest używany. CISA zaznacza, że luka dotyczy wielu przeglądarek na Chromium, w tym Chrome, Edge i Opery. Termin naprawy minął 26 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-5419 |
Data dodania do CISA KEV | 2025-06-05 |
Termin naprawy wg CISA | 2025-06-26 (21 dni od wpisu) |
Produkt | Google Chromium V8 (silnik JavaScript); według CISA dotyczy m.in. Google Chrome, Microsoft Edge i Opery |
Wersje zagrożone | Google Chrome starszy niż 137.0.7151.68; Microsoft Edge (Chromium) starszy niż 137.0.3296.62; inne przeglądarki na Chromium bez poprawki od swojego producenta; pakiety chromium w wydaniach Linuksa po końcu wsparcia |
Wersje bezpieczne | Chrome 137.0.7151.68/.69 (Windows, Mac) i 137.0.7151.68 (Linux) z 2 czerwca 2025 roku lub nowszy. Edge 137.0.3296.62 z 3 czerwca 2025 roku lub nowszy. Debian: aktualizacja dla bieżącego wydania z 4 czerwca 2025 roku. Najlepiej: najnowsza dostępna wersja każdej przeglądarki |
Typ podatności | Odczyt i zapis poza granicami bufora prowadzący do uszkodzenia sterty; CWE-125 i CWE-787 (KEV), CWE-125 (NVD) |
Ocena CVSS | CISA (w NVD): 8.8 (CVSS 3.1, WYSOKA), wektor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Atak przez sieć, bez uprawnień, wymaga wejścia użytkownika na stronę. Google: waga wysoka (High). NVD nie wystawił własnej oceny |
Google 28 maja 2025 roku, dzień po zgłoszeniu, ograniczył ryzyko zmianą konfiguracji wysłaną do przeglądarek Chrome w kanale stabilnym. Pełną poprawkę zawiera dopiero wersja 137.0.7151.68.
Wyobraź sobie teatr z salą na dwieście foteli. Gość przychodzi z biletem na miejsce numer trzysta. Bileter nie sprawdza, czy taki fotel istnieje, i prowadzi go dalej korytarzem, tam gdzie wypada „trzysta”, czyli do kabiny akustyka. Gość może podejrzeć notatki akustyka (odczyt poza zakresem) albo przestawić suwaki na pulpicie i zmienić to, co słyszy cała sala (zapis poza zakresem).
Tak działa ten błąd. Strony zawierają programy w JavaScript, a silnik V8 przydziela im miejsca w pamięci. Spreparowana strona sięga poza przydzielony zakres: podgląda dane z innych miejsc i nadpisuje wskazówki, co przeglądarka ma robić dalej. Wystarczy otworzyć stronę, bez instalowania czegokolwiek. A ponieważ V8 siedzi w Chrome, Edge, Operze i wielu innych przeglądarkach, aktualizacja jednej z nich nie wystarcza.
💡 V8 to silnik, który wykonuje programy JavaScript na stronach internetowych. Chromium to otwarty projekt, na którym zbudowane są Chrome, Edge, Opera i inne przeglądarki. Odczyt i zapis poza zakresem (out-of-bounds read/write) to sięganie do pamięci, która do programu nie należy. Sterta (heap) to obszar pamięci na dane tworzone w trakcie działania programu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera link „od przewoźnika” | Strona się wyświetla | Spreparowana strona może przejąć przeglądarkę |
Zapisane hasła i otwarte sesje | Chronione przez przeglądarkę | W zasięgu napastnika |
Chrome zaktualizowany, Edge nie | Wydaje się, że problem zamknięty | Link otwarty w Edge nadal jest groźny |
Stary komputer z Linuksem bez wsparcia | Działa bez zmian | Pakiet chromium nie dostanie poprawki |
Opis w rejestrze podatności | Uważany za rozstrzygający | Rozstrzygają numery wersji od producenta |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak wymaga wejścia ofiary na przygotowaną stronę, dlatego CISA ocenia go jako niemożliwy do zautomatyzowania. To profil ataku celowanego: lukę wykryli badacze Google zajmujący się zagrożeniami ze strony zaawansowanych napastników, a szczegóły błędu pozostają niepubliczne.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Wybór celu | T+0 | Wybór firmy i osób (finanse, zarząd, osoby z dostępem do systemów) | Lista adresów i kontekst |
2. Przygotowanie strony | T+godziny do dni | Umieszczenie exploita na stronie udającej przewoźnika, dostawcę lub portal branżowy | Pułapka gotowa |
3. Zwabienie | T+dni | Wiadomość z linkiem do tej strony | Ofiara otwiera link w domyślnej przeglądarce |
4. Przejęcie przeglądarki | T+sekundy | Uszkodzenie pamięci w V8 i uruchomienie kodu napastnika | Kontrola nad przeglądarką |
5. Kradzież sesji i haseł | T+minuty | Przejęcie zalogowanych sesji poczty, bankowości, systemów w chmurze | Dostęp bez znajomości haseł |
6. Wykorzystanie | T+godziny do dni | Czytanie korespondencji, podmiana numerów kont w fakturach, dalsze ataki | Straty finansowe, wyciek danych |
Mogę Ci jakoś pomóc?
Przeglądarka to najczęściej używany program w firmie: przez nią idzie poczta, bankowość, fakturowanie i systemy w chmurze. Przejęcie przeglądarki daje dostęp do zapisanych haseł i otwartych sesji, więc napastnik nie musi łamać żadnego hasła. W typowej firmie na Windows są co najmniej dwie przeglądarki na Chromium, a każdą trzeba zaktualizować osobno.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Blokada i reset kont, reinstalacja stacji, praca IT przy odtwarzaniu dostępów | Dni | 10 tys. do 100 tys. PLN (praca IT, przestój stanowisk) |
Bezpieczeństwo danych | Przejęcie poczty, dokumentów w chmurze i danych klientów | Minuty od otwarcia strony | 30 tys. do 200 tys. PLN (analiza incydentu) |
Finansowy | Podmienione numery kont w fakturach, wyłudzone przelewy | Dni do tygodni | 50 tys. do 800 tys. PLN (zależnie od wartości faktur) |
Reputacyjny | Oszukańcze wiadomości do klientów z Twojej skrzynki | Tygodnie | 20 tys. do 300 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z przeglądarkami na Chromium
bez poprawki z czerwca 2025
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (przejęcie przeglądarki z sesjami i hasłami), prawdopodobieństwo wysokie (exploit używany w atakach, EPSS wyżej niż 94% podatności), ale nie najwyższe, bo atak jest celowany i wymaga otwarcia strony, a większość przeglądarek aktualizuje się automatycznie.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersje wszystkich przeglądarek na każdym komputerze: Chrome, Edge, Opera i inne na Chromium, także te nieużywane świadomie | Dziś | Dział IT |
2 | 🔴 NATYCHMIAST | Zaktualizować każdą przeglądarkę do najnowszej wersji i wymusić ponowne uruchomienie | Dziś | Dział IT |
3 | 🟠 PILNIE | Sprawdzić, która przeglądarka jest domyślna (w niej otwierają się linki z poczty), i upewnić się, że jest aktualna | Do 2 dni | Dział IT |
4 | 🟠 PILNIE | Włączyć centralne zarządzanie aktualizacjami przeglądarek (zasady grupy lub MDM) | Do 7 dni | Administrator Windows |
5 | 🟠 PILNIE | Spisać komputery i serwery z systemami po końcu wsparcia, na których działa przeglądarka na Chromium | Do 7 dni | Dział IT |
6 | 🟡 WAŻNIE | Odinstalować zbędne przeglądarki, żeby zmniejszyć liczbę programów do aktualizacji | Do 30 dni | Dział IT |
7 | 🟡 WAŻNIE | Wprowadzić telefoniczną weryfikację każdej zmiany numeru konta kontrahenta | Do 30 dni | CFO |
Google, Microsoft i dystrybucje Linuksa wydały poprawki. Google dzień po zgłoszeniu ograniczył ryzyko zmianą konfiguracji wysłaną do przeglądarek Chrome w kanale stabilnym, ale to działanie producenta, a nie ustawienie do samodzielnego włączenia. Żadne źródło nie podaje obejścia zastępującego aktualizację. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Przeniesienie pracy do aktualnej przeglądarki i zablokowanie nieaktualnej | Wysoka | Łatwa |
Wymiana lub odcięcie od internetu systemów po końcu wsparcia | Wysoka | Średnia |
Filtrowanie ruchu WWW i blokada znanych złośliwych domen | Średnia: ogranicza źródła ataku | Średnia |
Wylogowywanie się z bankowości i systemów finansowych po zakończeniu pracy | Niska do średniej: skraca czas dostępnych sesji | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Chrome | Założenie, że „aktualizuje się sam” | Potwierdzona wersja 137.0.7151.68 lub nowsza |
Edge i inne przeglądarki | Pomijane | Potwierdzone aktualne wersje |
Domyślna przeglądarka | Nieznana | Znana i aktualna |
Systemy po końcu wsparcia | Pracują z nieaktualną przeglądarką | Spisane, wymienione lub odcięte |
Zgodność z wymogami | Prawie 15 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Google: „exploit dla CVE-2025-5419 istnieje i jest używany” |
Grupy przestępcze | Brak publicznych informacji o nazwach grup; lukę zgłosili Clement Lecigne i Benoît Sevens z Google Threat Analysis Group |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.8 WYSOKA wg CISA w NVD (CVSS 3.1); Google: waga wysoka |
PoC dostępny publicznie? | Brak publicznych informacji; szczegóły błędu w systemie zgłoszeń Chromium pozostają zastrzeżone |
Liczba atakowanych firm | Brak publicznych informacji |
Automatyzacja ataku | Nie (ocena CISA): wymaga otwarcia strony przez ofiarę |
Prognoza EPSS | ok. 7,5%, wyżej niż 94% znanych podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-5419
CVSS 3.1 (CISA) 8.8/10 ██████████████████░░ WYSOKA
EPSS (prawdopodob.) ~7,5% ██░░░░░░░░░░░░░░░░░░ percentyl ok. 94
CISA KEV TAK ████████████████████ ataki potwierdzone
Exploit w atakach TAK ████████████████████ wg Google
Automatyzacja (CISA) NIE ░░░░░░░░░░░░░░░░░░░░ atak celowany
Mogę Ci jakoś pomóc?
2025-05-27 Google TAG zgłasza błąd w V8
2025-05-28 Google ogranicza ryzyko zmianą konfiguracji Chrome
2025-06-02 Chrome 137.0.7151.68 z pełną poprawką
2025-06-03 Microsoft Edge 137.0.3296.62, publikacja CVE w NVD
2025-06-04 Debian wydaje aktualizację chromium
2025-06-05 CISA dodaje lukę do katalogu KEV
2025-06-26 Termin naprawy wg CISA dla agencji federalnych
... prawie 15 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Komunikat Google o aktualizacji Chrome: chromereleases.googleblog.com: Stable Channel Update for Desktop, 2 czerwca 2025 . Wpis Microsoft dla Edge: msrc.microsoft.com: CVE-2025-5419 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-5419 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Poprosić dział IT o raport wersji wszystkich przeglądarek na wszystkich komputerach | CTO | DZISIAJ |
2 | Zatwierdzić wymuszenie aktualizacji i restartu przeglądarek | CTO | DZISIAJ |
3 | Przypomnieć księgowości zasadę weryfikacji zmian numerów kont telefonicznie | CFO | DZISIAJ |
4 | Zatwierdzić centralne zarządzanie aktualizacjami przeglądarek | CTO | DO JUTRA |
5 | Zlecić spis systemów po końcu wsparcia z przeglądarkami | CTO | DO JUTRA |
6 | Oszacować koszt wymiany systemów bez wsparcia | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące oszustw na fakturach | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest najstarsza wersja Chrome na firmowych komputerach? | [wersja] | 🔴 |
2 | Jaka jest najstarsza wersja Edge na firmowych komputerach? | [wersja] | 🔴 |
3 | Jakie inne przeglądarki na Chromium są zainstalowane (Opera, Brave, inne)? | [lista] | 🔴 |
4 | Która przeglądarka jest domyślna na komputerach pracowników? | [nazwa] | 🟠 |
5 | Czy aktualizacje przeglądarek są zarządzane centralnie? | TAK / NIE | 🟠 |
6 | Czy mamy komputery z systemami po końcu wsparcia? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio sprawdzano wersje przeglądarek na wszystkich komputerach? | [data] | 🟡 |
CVE-2025-5419 w silniku V8 pozwala przejąć przeglądarkę przez samo otwarcie spreparowanej strony, a Google potwierdził exploit używany w atakach. Luka dotyczy Chrome, Edge, Opery i innych przeglądarek na Chromium, dlatego zadaniem na dziś jest sprawdzenie i aktualizacja każdej z nich na każdym komputerze, a na najbliższe tygodnie wycofanie systemów po końcu wsparcia.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.