Błąd w silniku V8 przeglądarki Chrome pozwalał spreparowanej stronie wykonać kod na komputerze i był wykorzystywany w atakach. Sprawdź, czy Chrome ma wersję 140.0.7339.185 lub nowszą, i uruchom przeglądarkę ponownie.
Ten alert jest dla zarządu, CTO i CFO wszystkich firm, w których pracownicy używają przeglądarki Google Chrome lub programów opartych na silniku Chromium. Werdykt: jeśli na którymkolwiek komputerze Chrome ma wersję starszą niż 140.0.7339.185, zaktualizuj i uruchom przeglądarkę ponownie dziś, bo luka w silniku V8 była wykorzystywana w atakach jako tzw. zero-day, a pobrana aktualizacja nie działa, dopóki przeglądarka nie zostanie zamknięta.
Amerykańska agencja CISA 23 września 2025 roku dopisała podatność CVE-2025-10585 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd tkwi w V8, części przeglądarki Chrome, która wykonuje programy przysyłane przez strony internetowe. Spreparowana strona może doprowadzić do uszkodzenia pamięci i wykonania kodu napastnika na komputerze ofiary.
Google wydało poprawkę 17 września 2025 roku, dzień po wewnętrznym zgłoszeniu błędu, i napisało wprost, że wie o istnieniu narzędzia wykorzystującego lukę w prawdziwych atakach. Termin naprawy wyznaczony przez CISA agencjom federalnym minął 14 października 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-10585 |
Data dodania do CISA KEV | 2025-09-23 |
Termin naprawy wg CISA | 2025-10-14 |
Produkt | Google Chrome (silnik JavaScript i WebAssembly V8 w projekcie Chromium); w NVD także oprogramowanie Siemens CADRA, które zawiera ten silnik |
Wersje zagrożone | Google Chrome starszy niż 140.0.7339.185, na wszystkich systemach. Inne programy z wbudowanym Chromium, dopóki ich producent nie dostarczy wersji z poprawką silnika |
Wersje bezpieczne | Chrome 140.0.7339.185 (Linux) oraz 140.0.7339.185 i 140.0.7339.186 (Windows, macOS) i każda nowsza. W praktyce dziś: najnowsza wersja stabilna dostępna w ustawieniach przeglądarki |
Typ podatności | Pomylenie typów prowadzące do uszkodzenia pamięci i wykonania kodu; CWE-843 |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA, bez udziału użytkownika). CISA: 8.8 (CVSS 3.1, WYSOKA, wymaga wejścia ofiary na stronę). Google: waga „High” |
Wyobraź sobie magazyn, w którym na kartach zapisuje się liczby bez jednostek. Karta „4500” raz oznacza numer regału, a raz wagę ładunku. Dopóki wszyscy czytają ją tak samo, system działa. Kto potrafi podsunąć kartę tak, żeby jedna część magazynu odczytała ją jako numer regału, a druga jako wagę, ten zaczyna kierować magazynierem, choć nikt mu na to nie pozwolił.
Tak działa „pomylenie typów” w silniku V8. Przeglądarka wykonuje setki razy dziennie programy przysyłane przez strony: bez tego nie działałby żaden sklep ani bank. Błąd pozwalał spreparowanej stronie sprawić, by silnik potraktował fragment pamięci jako coś innego niż jest, a to otwierało drogę do wykonania kodu napastnika. Nikt nie musi otwierać załącznika ani podawać hasła: wystarczy wejść na przygotowaną stronę, np. przez reklamę albo przejętą witrynę kontrahenta.
💡 V8 to silnik w Chrome i innych programach opartych na Chromium, który wykonuje kod JavaScript i WebAssembly ze stron. Pomylenie typów (type confusion) to błąd, w którym program używa danych jednego rodzaju tak, jakby były innego. Zero-day to luka wykorzystywana w atakach, zanim producent zdążył ją naprawić. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera wynik wyszukiwania | Strona się wyświetla | Przygotowana strona może wykonać kod na komputerze |
Ostrożność przy załącznikach w poczcie | Chroni przed wieloma atakami | Nie pomaga, atak idzie przez stronę WWW |
Automatyczna aktualizacja Chrome | Pobiera poprawkę w tle | Poprawka nie działa do ponownego uruchomienia przeglądarki |
Hasła zapisane w przeglądarce | Dostępne tylko dla użytkownika | Mogą trafić do napastnika razem z sesjami do poczty i banku |
Program branżowy z wbudowanym oknem przeglądarki | Nikt nie kojarzy go z Chrome | Może zawierać ten sam podatny silnik |
źródło: Pexels, Tiger LilyPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Szczegóły techniczne pozostają niejawne, a lukę zgłosił wewnętrzny zespół analizy zagrożeń Google, co zwykle oznacza ciche, celowane użycie, a nie masowe kampanie.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie strony | T+0 | Umieszczenie kodu ataku na własnej stronie, w reklamie lub na przejętej witrynie | Pułapka czeka na odwiedzających |
2. Zwabienie ofiary | T+godziny do dni | Link w wiadomości, wynik wyszukiwania, reklama, strona odwiedzana przez daną branżę | Ofiara otwiera stronę w podatnym Chrome |
3. Wykonanie kodu | T+sekundy od wejścia | Wywołanie pomylenia typów w V8 i uszkodzenie pamięci | Kod napastnika działa w przeglądarce |
4. Przejęcie komputera | T+minuty | Zwykle połączenie z kolejnymi lukami, by wyjść poza ograniczenia przeglądarki, instalacja narzędzi | Kontrola nad stacją roboczą |
5. Kradzież | T+minuty do godzin | Kradzież zapisanych haseł, sesji do poczty, banku i systemów w chmurze | Dostęp do kont firmowych |
6. Dalszy atak | T+dni | Rozpoznanie sieci firmowej z przejętego laptopa | Szerszy incydent |
Przeglądarka jest programem, który na każdym komputerze w firmie codziennie wykonuje kod napisany przez nieznajomych. Luka w jej silniku omija ostrożność pracowników przy poczcie i załącznikach. Najczęstsza słabość w małej firmie nie tkwi w braku aktualizacji, tylko w tym, że pobrana aktualizacja nigdy nie zostaje włączona.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przejęta stacja robocza, konieczność jej odtworzenia i zmiany haseł | Godziny | 5 tys. do 50 tys. PLN (praca IT, przestój pracownika) |
Bezpieczeństwo danych | Kradzież haseł i sesji do poczty, banku, systemów w chmurze | Minuty do godzin | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Fałszywe przelewy, dalszy atak na sieć firmy | Dni do tygodni | 20 tys. do 500 tys. PLN łącznie |
Reputacyjny | Wiadomości wysyłane z przejętych kont do klientów | Dni | 10 tys. do 200 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Chrome starszego niż 140.0.7339.185
Wpływ
5 | . . . . .
4 | . . ■ . . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (wykonanie kodu na komputerze pracownika, kradzież haseł i sesji), a prawdopodobieństwo średnie, bo luka była używana w celowanych atakach i wymaga wejścia na przygotowaną stronę, a nie w masowych kampaniach; ponad rok po wydaniu poprawki ryzyko dotyczy głównie komputerów i programów, które nie są aktualizowane.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Na każdym komputerze sprawdzić wersję Chrome (Ustawienia, „Informacje o Chrome”) i uruchomić przeglądarkę ponownie | Dziś | Każdy pracownik / dział IT |
2 | 🔴 NATYCHMIAST | Zidentyfikować komputery z wersją starszą niż 140.0.7339.185 i wymusić aktualizację | Dziś | Dział IT / partner IT |
3 | 🟠 PILNIE | Sprawdzić pozostałe przeglądarki oparte na Chromium używane w firmie i ich wersje | Do 3 dni | Dział IT |
4 | 🟠 PILNIE | Spisać programy z wbudowanym oknem przeglądarki (np. oprogramowanie branżowe) i zapytać dostawców o wersję silnika | Do 7 dni | CTO |
5 | 🟠 PILNIE | Włączyć w zarządzaniu komputerami wymuszenie ponownego uruchomienia przeglądarki po aktualizacji | Do 7 dni | Dział IT |
6 | 🟡 WAŻNIE | Wprowadzić zasadę: raz w tygodniu wszyscy zamykają i ponownie otwierają przeglądarkę | Do 7 dni | Kierownicy zespołów |
7 | 🟡 WAŻNIE | Ograniczyć przechowywanie haseł do bankowości i systemów krytycznych w przeglądarce na rzecz menedżera haseł z MFA | Do 30 dni | CTO |
Google wydało poprawkę 17 września 2025 roku i nie ma rozsądnej alternatywy dla aktualizacji: błąd tkwi w silniku wykonującym kod stron. Poniższe miary tylko ograniczają ryzyko na urządzeniach, których nie da się od razu zaktualizować. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Ponowne uruchomienie przeglądarki, by aktywować już pobraną poprawkę | Wysoka | Bardzo łatwa |
Ograniczenie przeglądania internetu na komputerach, których nie da się zaktualizować (np. stanowiska produkcyjne) | Średnia do wysokiej | Średnia |
Filtrowanie ruchu WWW i blokowanie reklam na poziomie sieci | Niska do średniej | Średnia |
Wyłączenie zapamiętywania haseł w przeglądarce | Niska jako ochrona przed samą luką, ogranicza skutki | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Chrome | Pobrana poprawka, ale stara wersja aktywna | 140.0.7339.185 lub nowsza, aktywna |
Nawyk pracowników | Przeglądarka otwarta tygodniami | Cotygodniowe ponowne uruchomienie |
Programy z wbudowanym Chromium | Nieznane | Spisane, dostawcy zapytani o wersję silnika |
Hasła w przeglądarce | Hasła do banku i systemów krytycznych zapisane | W menedżerze haseł z MFA |
Zgodność z terminem CISA | Zaległość od 14 października 2025 roku, jeśli jakiś komputer ma starą wersję (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Google w komunikacie o wydaniu potwierdził istnienie narzędzia wykorzystującego lukę w atakach |
Grupy przestępcze | Brak publicznych informacji; zgłoszenie pochodziło od wewnętrznego zespołu analizy zagrożeń Google |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD; 8.8 WYSOKA wg CISA (obie CVSS 3.1); Google: High |
PoC dostępny publicznie? | Brak publicznych informacji; zgłoszenie w systemie Chromium nadal jest zastrzeżone |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | Około 5%, stabilnie (wg analizy źródłowej); niska wartość typowa dla celowanych ataków bez publicznych narzędzi |
Różnica między 9.8 a 8.8 dotyczy tego, czy wejście ofiary na stronę uznać za udział użytkownika. W praktyce reklama czy przejęta strona kontrahenta sprawiają, że ten warunek nie jest dużą przeszkodą.
Sygnały zagrożenia dla CVE-2025-10585
CVSS 3.1 (NVD) 9.8/10 ███████████████████░ KRYTYCZNA
CVSS 3.1 (CISA) 8.8/10 █████████████████░░░ WYSOKA
EPSS (próba w 30 dni) ~5% █░░░░░░░░░░░░░░░░░░░ NISKA (celowane)
CISA KEV TAK ████████████████████ ataki potwierdzone
Zero-day (Google) TAK ████████████████████ exploit w obiegu 2025-09-16 Wewnętrzne zgłoszenie błędu w Google
2025-09-17 Chrome 140.0.7339.185/.186 z poprawką; Google potwierdza
wykorzystanie w atakach
2025-09-23 CISA dodaje lukę do katalogu KEV
2025-09-24 Publikacja CVE-2025-10585 w NVD
2025-10-14 Termin naprawy wg CISA dla agencji federalnych
2026-07-14 Ostatnia aktualizacja wpisu w NVD
... prawie rok od poprawki
2026-09-17: TUTAJ JESTEŚMY Komunikat Google o wydaniu z poprawką: chromereleases.googleblog.com: Stable Channel Update for Desktop (17.09.2025) . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-10585 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Polecić wszystkim pracownikom ponowne uruchomienie przeglądarki i sprawdzenie wersji | CTO | DZISIAJ |
2 | Uzyskać od działu IT listę komputerów z Chrome starszym niż 140.0.7339.185 | CTO | DZISIAJ |
3 | Zatwierdzić wymuszanie ponownego uruchomienia przeglądarki po aktualizacjach | CTO | DO JUTRA |
4 | Zlecić spis programów z wbudowanym Chromium i zapytania do ich dostawców | CTO | DO JUTRA |
5 | Sprawdzić, czy do bankowości firmowej logujemy się z komputerów z aktualną przeglądarką | CFO | DO JUTRA |
6 | Zarezerwować budżet na menedżer haseł z MFA dla zespołu | CFO | DO JUTRA |
7 | Ustalić dzień tygodnia na obowiązkowe ponowne uruchomienie przeglądarek | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Ile komputerów w firmie ma Chrome starszy niż 140.0.7339.185? | [liczba] | 🔴 |
2 | Czy potrafimy centralnie sprawdzić wersję przeglądarki na wszystkich komputerach? | TAK / NIE | 🔴 |
3 | Czy wymuszamy ponowne uruchomienie przeglądarki po aktualizacji? | TAK / NIE | 🟠 |
4 | Jakie inne przeglądarki oparte na Chromium są używane i w jakich wersjach? | [lista i wersje] | 🟠 |
5 | Które programy branżowe mają wbudowane okno przeglądarki i kiedy były aktualizowane? | [lista], [data] | 🟠 |
6 | Czy hasła do bankowości i systemów krytycznych są zapisane w przeglądarkach? | TAK / NIE | 🟡 |
7 | Czy na stanowiskach, których nie da się aktualizować, ograniczono dostęp do internetu? | TAK / NIE | 🟡 |
CVE-2025-10585 to luka w silniku V8 przeglądarki Chrome, wykorzystywana jako zero-day, która pozwala spreparowanej stronie wykonać kod na komputerze pracownika. Poprawka jest dostępna od 17 września 2025 roku, ale działa dopiero po ponownym uruchomieniu przeglądarki, więc sprawdzenie wersji na wszystkich komputerach i restart przeglądarek to zadanie na dziś, a spis programów z wbudowanym Chromium na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułWykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.