Google załatał w Chrome 157.0.8103.50 i 157.0.8103.51 lukę CVE-2026-125350, którą według firmy ktoś już wykorzystuje w atakach, więc każdy, kto używa Chrome na komputerze albo Androidzie, powinien teraz sprawdzić, czy ma tę aktualizację. Poprawka wyszła 9 listopada 2026 roku o 21:52 czasu polskiego i trafia do użytkowników stopniowo, a Microsoft napisał tego samego dnia, że Edge na komputerach, zbudowany na tym samym silniku Chromium, jeszcze jej nie ma. Poprawka zaczyna działać dopiero po ponownym uruchomieniu przeglądarki, więc pobranie aktualizacji w tle nie wystarczy. Od 10 listopada luka jest w katalogu podatności wykorzystywanych w atakach prowadzonym przez amerykańską agencję CISA, a 11 listopada rano Edge na komputerach nadal nie miał poprawki. Stan na 11 listopada 2026 roku, godz. 9:15, według not wydania Google i Microsoftu oraz katalogu CISA.
Co wiadomo o luce CVE-2026-125350
CVE-2026-125350 to błąd typu use-after-free, czyli użycie fragmentu pamięci po tym, jak program go zwolnił, w części Chrome odpowiedzialnej za obsługę formatu XML. Google ocenia go jako poważny (High). Zgłosił go anonimowy badacz 6 listopada, a poprawka wyszła trzy dni później.
O atakach Google napisał jedno zdanie: firma wie, że exploit na tę lukę istnieje i jest używany w praktyce. Nie podał, kto atakuje, przeciwko komu ani czy do ataku wystarczy wejście na stronę. Google zastrzega, że może ograniczać dostęp do szczegółów błędów, dopóki większość użytkowników nie zainstaluje poprawki. Tak wynika z noty wydania na blogu Chrome Releases.
Według katalogu słabości MITRE CWE-416 błędy use-after-free mogą prowadzić do awarii programu, wycieku danych albo wykonania kodu. To ogólne ryzyko tej klasy błędów. Skutku CVE-2026-125350 Google nie opisał.
Ta sama aktualizacja usuwa 9 błędów bezpieczeństwa. Siedem ma ocenę High (WebGL, system plików, kompozycja obrazu, GPU, silnik JavaScript V8 i dwa błędy w XML), dwa ocenę Medium (GPU). Według SecurityWeek to ósma luka zero-day w Chrome wykorzystana w atakach w 2026 roku. Amerykańska agencja CISA wpisała ją 10 listopada do katalogu podatności wykorzystywanych w atakach (KEV). Agencje federalne USA mają usunąć lukę do 24 listopada.
Jak zaktualizować Chrome na komputerze
Chrome aktualizuje się sam, ale nowa wersja trafia do użytkowników stopniowo, “w ciągu kolejnych dni lub tygodni”. Dlatego warto wymusić aktualizację ręcznie. Kroki według pomocy Google:
- Otwórz Chrome i w prawym górnym rogu kliknij Więcej (trzy kropki).
- Wybierz Pomoc, a potem Google Chrome – informacje. Ten sam ekran otworzysz, wpisując w pasku adresu
chrome://settings/help. - Poczekaj, aż Chrome sprawdzi dostępność aktualizacji i ją pobierze. Robi to sam po otwarciu tej strony.
- Kliknij Uruchom ponownie.
Jeśli przycisku “Uruchom ponownie” nie ma, używasz najnowszej wersji. Przeglądarka po restarcie otworzy zapisane karty i okna, ale nie przywróci okien incognito. Przycisk “Nie teraz” odkłada instalację do następnego uruchomienia, a do tego czasu działa stara wersja z luką. W Windows Google radzi zamknąć wszystkie okna i karty Chrome, a potem uruchomić go znowu. Na Linuksie Chrome aktualizuje się przez menedżer pakietów.
Która wersja Chrome ma poprawkę
Poprawkę ma Chrome 157.0.8103.50 lub .51 na Windows i macOS oraz 157.0.8103.50 na Linuksie i Androidzie. Numer wersji widać pod nagłówkiem “Google Chrome” na stronie informacji o przeglądarce.
| Gdzie | Wersja z poprawką | Jak trafia do użytkowników |
|---|---|---|
| Chrome na Windows i macOS | 157.0.8103.50 lub .51 | stopniowo, przez kolejne dni i tygodnie |
| Chrome na Linuksie | 157.0.8103.50 | menedżer pakietów |
| Chrome na Androidzie | 157.0.8103.50 | Sklep Play, w ciągu kilku dni |
| Chrome Extended Stable (Windows, macOS) | 156.0.8078.96 | kanał ustawiany przez administratorów |
| Microsoft Edge na komputerze | brak (stan na 11.11, godz. 9:15) | ostatnie wydanie 157.0.4341.42 z 5 listopada |
Chrome 157 jest wersją stabilną od 3 listopada, ale pierwsze wydania 157 tej poprawki nie mają. Kanał Extended Stable, z którego korzystają organizacje rzadziej zmieniające główną wersję, dostał ją w wydaniu 156.0.8078.96.
Część użytkowników Windows dostała 4 listopada wczesne wydanie 158.0.8127.18 lub .19. Nota Google z 9 listopada go nie wymienia, więc z samego numeru nie da się wyczytać, czy ma poprawkę. Wejdź wtedy na stronę informacji o Chrome, żeby przeglądarka sprawdziła, czy czeka nowsze wydanie.
Aktualizacja Chrome na Androidzie
Na Androidzie Chrome aktualizuje się przez Sklep Play. Google zapowiada, że wersja 157.0.8103.50 pojawi się tam “w ciągu kilku dni” od 9 listopada i ma te same poprawki bezpieczeństwa co wersja na komputery. Ręcznie sprawdzisz to tak:
- Otwórz Sklep Play i w prawym górnym rogu dotknij ikony profilu.
- Wybierz Zarządzaj aplikacjami i urządzeniami.
- W sekcji “Dostępne aktualizacje” znajdź Chrome i dotknij Aktualizuj.
Wersję sprawdzisz w Chrome: Więcej, potem Ustawienia i Chrome – informacje. Jeśli Sklep Play nie pokazuje jeszcze aktualizacji, zajrzyj ponownie za dzień lub dwa. Chrome działa na Androidzie 10 i nowszym. Nota Google z 9 listopada dotyczy komputerów i Androida, Chrome na iPhone’a w niej nie występuje.
Microsoft Edge: aktualizacja z poprawką jeszcze nie wyszła
Microsoft napisał 9 listopada w notach bezpieczeństwa Edge, że wie o atakach z użyciem tej luki i “aktywnie pracuje” nad poprawką. Do 11 listopada, godz. 9:15, nie opublikował nowego wydania Edge na komputery, a noty bezpieczeństwa Edge nie zmieniły się od 9 listopada. Ostatnie, 157.0.4341.42, pochodzi z 5 listopada, czyli sprzed poprawki w Chrome. Microsoft nie podał terminu. Poprawki dla Edge nie przyniosły też listopadowe aktualizacje Windows i Office z 10 listopada. Najważniejsza z nich łata lukę w Outlooku wykorzystywaną w atakach.
Gdy poprawka wyjdzie, zainstalujesz ją tak samo jak w Chrome: Ustawienia i nie tylko, potem Pomoc i opinie i Na temat programu Microsoft Edge (adres edge://settings/help). Według pomocy Microsoftu Edge pobierze aktualizację i zastosuje ją przy następnym ponownym uruchomieniu. Jeśli masz obie przeglądarki, do czasu poprawki rozsądniej korzystać z zaktualizowanego Chrome.
Inne przeglądarki oparte na Chromium, jak Brave, Opera czy Vivaldi, dostają poprawki od swoich producentów. Ich stanu nie sprawdzaliśmy. Numer wersji i dostępność aktualizacji znajdziesz w menu pomocy każdej z nich.
O poprzedniej luce w Chrome wykorzystywanej w atakach pisaliśmy we wrześniu w tekście Aktualizacja Chrome pilna. Jak wyglądają ataki przez zainfekowane strony na nieaktualne przeglądarki, pokazuje kampania APT29 opisana przez Sekoię. Wcześniejszą dużą porcję poprawek, w tym luki zgłoszone przez zespół Anthropic, przyniósł Chrome 156.
Podsumowanie
Google załatał w Chrome 157.0.8103.50 i .51 lukę CVE-2026-125350 w obsłudze XML, którą według firmy ktoś już wykorzystuje w atakach. Szczegółów ataku Google nie ujawnił, a CISA wpisała lukę 10 listopada do katalogu KEV, z terminem usunięcia dla agencji federalnych USA do 24 listopada. Na komputerze wejdź w Pomoc, potem w informacje o Chrome (albo pod adres chrome://settings/help) i kliknij “Uruchom ponownie”, bo bez restartu działa stara wersja. Na Androidzie zaktualizuj Chrome w Sklepie Play, gdzie wersja 157.0.8103.50 pojawi się w ciągu kilku dni. Edge na komputerach poprawki jeszcze nie ma: Microsoft wie o atakach i nad nią pracuje, ale nie podał terminu. Stan na 11 listopada 2026 roku, godz. 9:15.
