Pomylenie typów w silniku V8 pozwala przygotowanej stronie czytać i zapisywać pamięć Chrome, Edge i Opery. CISA potwierdza ataki. Zaktualizuj i uruchom ponownie wszystkie przeglądarki Chromium dziś.
Ten alert jest dla zarządu, CTO i CFO każdej firmy, w której pracownicy używają Google Chrome, Microsoft Edge, Opery lub innej przeglądarki opartej na Chromium. Werdykt: jeśli któraś przeglądarka na firmowych komputerach jest starsza niż Chrome 138.0.7204.96 (Windows) / 138.0.7204.92 (macOS, Linux) lub Edge 138.0.3351.65, wymuś aktualizację i ponowne uruchomienie przeglądarek dziś, bo luka jest wykorzystywana w atakach.
Amerykańska agencja CISA 2 lipca 2025 roku, dwa dni po publikacji, dopisała podatność CVE-2025-6554 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd to pomylenie typów w silniku JavaScript V8. Wystarczy, że pracownik otworzy przygotowaną stronę, a obca strona może czytać i zapisywać dowolne miejsca w pamięci procesu przeglądarki; Red Hat opisuje to jako możliwość wykonania kodu.
Microsoft potwierdza, że Google wiedział o działającym exploicie. Termin naprawy wg CISA minął 23 lipca 2025 roku, ponad rok temu, a luka dotyczy każdej przeglądarki na silniku Chromium.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-6554 |
Data dodania do CISA KEV | 2025-07-02 |
Termin naprawy wg CISA | 2025-07-23 (21 dni od wpisu) |
Produkt | Google Chromium V8 (silnik JavaScript); dotyczy m.in. Google Chrome, Microsoft Edge, Opery i aplikacji z wbudowanym Chromium |
Wersje zagrożone | Chrome przed 138.0.7204.96 na Windows oraz przed 138.0.7204.92 na macOS i Linux; Edge przed 138.0.3351.65; pakiety chromium w dystrybucjach bez poprawki (w starszym wydaniu Debiana pakiet bez wsparcia). Warunek: otwarcie spreparowanej strony |
Wersje bezpieczne | Chrome 138.0.7204.96 (Windows), 138.0.7204.92 (macOS, Linux), Edge 138.0.3351.65 (1 lipca 2025 roku) lub nowsze; poprawiony pakiet chromium w bieżącym wydaniu Debiana |
Typ podatności | Pomylenie typów (type confusion) dające dowolny odczyt i zapis pamięci; CWE-843 |
Ocena CVSS | CISA: 8.1 WYSOKA (CVSS 3.1, bez wpływu na dostępność). Red Hat: 8.8 WYSOKA (CVSS 3.1, ocena robocza). Google: waga High w skali Chromium. NVD nie wystawiła własnej oceny |
Wyobraź sobie recepcję, która przy każdej przesyłce ma kartkę z opisem zawartości. Kurier zostawia paczkę opisaną jako dokumenty, ale recepcjonistka czyta z kartki, że to klucz do sejfu, więc próbuje nim otworzyć sejf. Zawartość nie ma znaczenia; liczy się to, że przyjęto ją jako coś innego i wykonano działanie z zupełnie innej kategorii.
Tak działa pomylenie typów. Silnik V8 wykonuje instrukcje JavaScript przysłane przez każdą odwiedzaną stronę. Gdy w wyniku błędu potraktuje dane jednego rodzaju jak dane innego rodzaju, przygotowana strona może czytać i zapisywać pamięć przeglądarki. To wystarcza do kradzieży danych z sesji, a w połączeniu z innymi technikami do uruchomienia kodu. Nie trzeba niczego pobierać ani się logować.
💡 V8 to silnik, który wykonuje JavaScript, czyli kod stron internetowych, w Chrome, Edge i Operze. Pomylenie typów (type confusion) to błąd, w którym program odczytuje dane inaczej, niż zostały zapisane. Dowolny odczyt i zapis pamięci oznacza, że napastnik może podejrzeć lub zmienić dane przeglądarki. Chromium to wspólna podstawa wielu przeglądarek. KEV to katalog CISA z lukami wykorzystywanymi w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Otwarcie nieznanej strony | Strona działa w swojej karcie | Strona może czytać i zmieniać pamięć przeglądarki |
Sprawdzenie wersji w firmie z Windows i Macami | Jeden numer do porównania | Dwa różne numery (…96 i …92) |
Poprawka pobrana w tle | Chroni od razu | Działa dopiero po zamknięciu i ponownym otwarciu przeglądarki |
Druga przeglądarka na komputerze (Edge, Opera) | Nieużywana, więc „nie ma problemu” | Równie podatna, często nieaktualizowana |
Stary Linux z przeglądarką z repozytorium | Aktualizuje się z systemem | Brak wsparcia, poprawki nie będzie |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luki tego typu w przeglądarkach są zwykle wykorzystywane w atakach celowanych: strona z exploitem jest podsuwana wybranym osobom lub umieszczana na stronach, które odwiedzają.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 min | Umieszczenie exploita na własnej lub przejętej stronie, w reklamie albo w linku | Gotowa pułapka |
2. Zwabienie | T+godziny do dni | Wysłanie linku pracownikom (e-mail, komunikator) lub czekanie na odwiedziny | Ofiara otwiera stronę |
3. Wykorzystanie | T+sekundy | JavaScript wywołuje pomylenie typów w V8 | Dowolny odczyt i zapis pamięci przeglądarki |
4. Eskalacja | T+sekundy do minut | Połączenie z innymi technikami w celu wykonania kodu | Kod napastnika na komputerze |
5. Kradzież | T+minuty | Przejęcie sesji, haseł i ciasteczek do poczty, bankowości i systemów w chmurze | Dostęp do kont pracownika |
6. Wykorzystanie dostępu | T+dni | Oszustwa, kradzież danych, dalszy ruch w sieci | Straty finansowe i wyciek |
Przeglądarka przez cały dzień wykonuje kod od obcych i ma otwarte sesje do poczty, bankowości i systemów firmowych. Poprawki instalują się w tle, ale zaczynają działać dopiero po ponownym uruchomieniu przeglądarki, a wiele osób nie zamyka jej tygodniami.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odizolowanie i czyszczenie zainfekowanych komputerów, zmiana haseł | Godziny do dni | 5 tys. do 40 tys. PLN (czas pracy, wsparcie IT) |
Bezpieczeństwo danych | Kradzież sesji, haseł i danych z otwartych aplikacji | Minuty od otwarcia strony | 20 tys. do 150 tys. PLN (analiza powłamaniowa) |
Finansowy | Nieautoryzowane przelewy, oszustwa z przejętej poczty | Dni | 20 tys. do 400 tys. PLN |
Reputacyjny | Wyciek danych klientów, fałszywe wiadomości z kont pracowników | Tygodnie | 20 tys. do 250 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z nieaktualnymi przeglądarkami Chromium
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (odczyt i zapis pamięci przeglądarki, kradzież sesji), a prawdopodobieństwo wysokie, bo wystarczy otwarcie strony i exploit był używany w atakach; ryzyko nie jest maksymalne, bo ataki są raczej celowane, a poprawka jest dostępna od ponad roku.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zebrać wersje wszystkich przeglądarek Chromium (Chrome, Edge, Opera) na każdym komputerze, osobno dla Windows, macOS i Linux | Dziś | Administrator IT |
2 | 🔴 NATYCHMIAST | Wymusić aktualizację i ponowne uruchomienie przeglądarek (zasady grupy, MDM) | Dziś | Administrator IT |
3 | 🔴 NATYCHMIAST | Sprawdzić, czy automatyczne aktualizacje przeglądarek nie są wyłączone | Dziś | Administrator IT |
4 | 🟠 PILNIE | Znaleźć stanowiska z Linuksem bez wsparcia pakietu przeglądarki i zainstalować przeglądarkę od producenta lub odciąć je od internetu | Do 7 dni | Administrator IT |
5 | 🟠 PILNIE | Zapytać dostawców aplikacji z wbudowanym oknem przeglądarki o wersję ich silnika Chromium | Do 7 dni | Dział IT |
6 | 🟡 WAŻNIE | Usunąć zbędne, nieużywane przeglądarki z komputerów | Do 30 dni | Administrator IT |
7 | 🟡 WAŻNIE | Ustawić wymuszony restart przeglądarki po aktualizacji w określonym czasie | Do 30 dni | CTO |
Google i Microsoft wydały poprawki ponad rok temu, więc problem dotyczy głównie komputerów, na których aktualizacje są zablokowane lub niemożliwe. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Instalacja przeglądarki pobieranej od producenta, aktualizowanej niezależnie od systemu | Wysoka | Łatwa do średniej |
Odcięcie stanowiska bez wsparcia od internetu, dostęp tylko do potrzebnych systemów | Wysoka | Średnia |
Przeniesienie starego programu do maszyny wirtualnej i aktualny system na biurku | Wysoka | Trudna |
Filtrowanie ruchu WWW i blokowanie nieznanych domen | Niska do średniej | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersje przeglądarek | Nieznane, różne systemy porównywane jednym numerem | Znane i zgodne z progiem dla każdego systemu |
Poprawka pobrana w tle | Nieaktywna, przeglądarka niezamykana od tygodni | Aktywna po wymuszonym restarcie |
Dodatkowe przeglądarki | Zapomniane i nieaktualizowane | Usunięte lub aktualne |
Stanowiska bez wsparcia | Otwarte na internet | Odcięte lub z aktualną przeglądarką |
Status wobec terminu CISA | Zaległość od 23 lipca 2025 roku | Luka zamknięta |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); wg Microsoft Google wiedział o istnieniu exploita |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.1 WYSOKA wg CISA (CVSS 3.1); 8.8 WYSOKA wg Red Hat (CVSS 3.1, robocza) |
PoC dostępny publicznie? | Brak publicznych informacji w źródłach |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 13%, wzrost z około 8% w ciągu miesiąca, górne 4% znanych luk (wg analizy źródłowej) |
Różnica 8.1 i 8.8 wynika tylko z oceny, czy przeglądarka przestaje działać. Przy progu „łatamy od 8.5” ta sama luka raz byłaby zauważona, a raz nie. Lepszym filtrem jest informacja o aktywnych atakach, a ta jest potwierdzona.
Sygnały zagrożenia dla CVE-2025-6554
CVSS 3.1 (Red Hat) 8.8/10 ██████████████████░░ WYSOKA
CVSS 3.1 (CISA) 8.1/10 ████████████████░░░░ WYSOKA
EPSS (próba w 30 dni) ~13% ███░░░░░░░░░░░░░░░░░ górne 4% luk
CISA KEV TAK ████████████████████ ataki potwierdzone
Od publikacji do KEV 2 dni ████████████████████ bardzo szybko 2025-06-30 Google wydaje Chrome 138.0.7204.96/.92, publikacja CVE w NVD
2025-07-01 Microsoft wydaje Edge 138.0.3351.65
2025-07-02 CISA dodaje lukę do katalogu KEV
2025-07-23 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... prawie 14 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalna informacja Google o aktualizacji Chrome: chromereleases.googleblog.com . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-6554 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Poprosić o raport wersji wszystkich przeglądarek na komputerach firmy, z podziałem na systemy | CTO | DZISIAJ |
2 | Zatwierdzić wymuszony restart przeglądarek w ciągu dnia pracy | CTO | DZISIAJ |
3 | Ustalić, które stanowiska mają przeglądarki bez wsparcia | CTO | DO JUTRA |
4 | Zatwierdzić decyzję dla stanowisk ze starym oprogramowaniem (odcięcie, nowa przeglądarka lub wirtualizacja) | CFO | DO JUTRA |
5 | Przypomnieć pracownikom finansów o ostrożności wobec linków do „faktur online” | CFO | DO JUTRA |
6 | Zlecić pytanie do dostawców aplikacji o wersję wbudowanego silnika przeglądarki | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka jest najstarsza wersja Chrome na Windows, a jaka na macOS i Linux? | [wersja Windows] / [wersja macOS/Linux] | 🔴 |
2 | Jaka jest najstarsza wersja Edge i Opery w firmie? | [wersja] | 🔴 |
3 | Czy przeglądarki są automatycznie restartowane po aktualizacji? | TAK / NIE | 🔴 |
4 | Czy któryś komputer ma przeglądarkę z nieobsługiwanego pakietu systemowego? | TAK / NIE | 🟠 |
5 | Ile przeglądarek jest zainstalowanych na typowym komputerze? | [liczba] | 🟠 |
6 | Które aplikacje biznesowe mają wbudowane okno przeglądarki i na jakiej wersji silnika? | [lista] | 🟡 |
7 | Kiedy ostatnio sprawdzono, że aktualizacje przeglądarek faktycznie działają? | [data] | 🟡 |
CVE-2025-6554 w silniku V8 pozwala przygotowanej stronie czytać i zapisywać pamięć przeglądarki Chrome, Edge lub Opery, a CISA potwierdziła ataki dwa dni po publikacji. Poprawki są dostępne od lipca 2025 roku, ale działają dopiero po ponownym uruchomieniu przeglądarki, a numery wersji różnią się między systemami, więc dziś trzeba sprawdzić wszystkie przeglądarki na wszystkich komputerach i wymusić restart.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA potwierdza wykorzystanie krytycznej luki w bibliotece Ajax.NET Professional, która pozwala przejąć serwer bez logowania. Znajdź stare aplikacje ASP.NET z AjaxPro, odetnij je od internetu i zaktualizuj.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.