Jeżeli twoja przeglądarka pokazuje numer niższy niż 152.0.7977.82, czytasz ten tekst w programie z dziurą, która jest już wykorzystywana w atakach. Google potwierdziło to jednym zdaniem, w dniu wydania poprawki, i nie dodało nic więcej. Dzień później amerykańska agencja CISA wpisała lukę na listę podatności wykorzystywanych w atakach. Aktualizacja Chrome zajmuje kilkanaście sekund, ale ma pewien haczyk: poprawka instaluje się dopiero po ponownym uruchomieniu przeglądarki, więc samo jej pobranie w tle niczego jeszcze nie załatwia.
Sprawdź numer wersji, zanim przeczytasz resztę
Aktualizacja z 10 listopada 2026 roku: 9 listopada Google wydał Chrome 157.0.8103.50 i .51 z poprawką kolejnej luki wykorzystywanej w atakach, więc numer podany w tym tekście nie jest już aktualnym minimum, a opis luki i instrukcję znajdziesz w tekście Aktualizacja Chrome 157. 10 listopada CISA wpisała tę nową lukę (CVE-2026-125350) do katalogu podatności wykorzystywanych w atakach. 11 listopada o 9:15 Edge na komputerach nadal nie miał poprawki.
Wersję zobaczysz pod adresem chrome://settings/help, czyli w menu Pomoc, w pozycji “Chrome – informacje”. To samo okno od razu sprawdza dostępność aktualizacji i ją pobiera. Jeśli po sprawdzeniu pojawi się przycisk ponownego uruchomienia, kliknij go od razu. Bez restartu działa dalej stary kod.
| System | Wersja z poprawką |
|---|---|
| Windows | 152.0.7977.82 lub .83 |
| macOS | 152.0.7977.82 lub .83 |
| Linux | 152.0.7977.82 |
Wydanie ukazało się 3 września i Google opisało je w standardowym wpisie o kanale stabilnym dla komputerów. Producent zaznacza przy okazji, że aktualizacja rozkłada się na kolejne dni i tygodnie, więc nie każdy dostanie ją tego samego dnia. To jest właśnie powód, dla którego warto sprawdzić ręcznie zamiast czekać. Kolejną dużą porcję poprawek przyniósł Chrome 156, wydany 20 października 2026 roku i zaktualizowany 27 października. Są wśród nich luki zgłoszone przez zespół Anthropic, opisane w tekście o atakach, które napisał Claude.
Skrót, który łatwo przeczytać za mocno
W anglojęzycznym obiegu ta luka bywa podpisywana skrótem “sandbox RCE”, czyli wykonaniem kodu w piaskownicy. Bardzo łatwo odczytać to jako ucieczkę z piaskownicy, a stąd już blisko do wniosku o przejęciu komputera. Warto więc sprawdzić, co mówią same dokumenty.
Baza NVD opisuje skutek jednoznacznie: spreparowana strona HTML pozwala zdalnemu napastnikowi wykonać dowolny kod wewnątrz piaskownicy. Katalog CISA używa dokładnie tego samego sformułowania. NVD podaje przy tym niezmieniony zakres bezpieczeństwa w wektorze oceny. Sam ten znacznik nie jest dowodem na brak ucieczki z piaskownicy, ale zgadza się z jawnym opisem skutku.
Różnica jest konkretna, nie teoretyczna. Piaskownica to osobny, mocno ograniczony proces, w którym Chrome renderuje stronę. Kod, który się w nim wykona, nie dostaje swobodnego dostępu do plików ani do całego systemu. Do wyjścia poza te ograniczenia potrzebny byłby dodatkowy etap, na przykład osobna podatność pozwalająca opuścić piaskownicę. Żaden z dokumentów nie twierdzi, że taki łańcuch zaobserwowano.
I teraz druga strona tej samej monety, bo pojedyncza korekta łatwo zamienia się w rozgrzeszenie. Wewnątrz piaskownicy siedzi zawartość stron, które właśnie oglądasz. Ocena bazowa w NVD to 8,8 na dziesięć i zakłada poważny wpływ na poufność, integralność oraz dostępność zasobów w ocenianym zakresie. Poprawka wyszła, a luka jest wykorzystywana w atakach, więc czas między jednym a drugim biegnie na twoją niekorzyść.
Czym jest pomylenie typów i dlaczego akurat V8
Błąd należy do klasy zwanej pomyleniem typów. Program odkłada w pamięci obiekt jednego rodzaju, a potem sięga po niego tak, jakby był innego rodzaju. Odczytuje wtedy nie to, co trzeba, i w odpowiednio przygotowanej sytuacji pozwala napastnikowi zapisać własne dane w miejscu, w którym nie powinien.
V8 to silnik, który wykonuje JavaScript w Chrome. Każda odwiedzona strona podaje mu kod do uruchomienia. Ocena zawiera warunek interakcji użytkownika i warto wiedzieć, jak mało on znaczy. Wystarczy, że przeglądarka załaduje spreparowaną treść HTML. Nikt nie musi niczego instalować ani świadomie uruchamiać pliku.
Chrome to nie wszystko. Edge, Opera i reszta rodziny
Silnik V8 jest wspólny dla całej rodziny Chromium, więc problem nie kończy się na przeglądarce Google. CISA zapisała to ostrożnie: luka może dotyczyć wielu przeglądarek korzystających z Chromium, i wymieniła Google Chrome, Microsoft Edge oraz Operę. Luki w V8 wykorzystują też grupy szpiegowskie: według Sekoii APT29 użyła CVE-2026-3910 w Chrome na Androidzie, co opisujemy w tekście o atakach na telefony przez zainfekowane strony.
Sformułowanie jest w trybie przypuszczającym z konkretnego powodu. Każdy producent bierze poprawki z projektu Chromium w swoim własnym tempie i sam ogłasza, kiedy je wydał. Jeżeli używasz Edge’a, Opery, Brave’a albo Vivaldiego, sprawdź numer wydania u swojego producenta, a nie u Google. Zasada jest ta sama co przy Chrome: liczy się to, co faktycznie masz zainstalowane po restarcie.
Dwanaście łatek naraz i jedno zdanie o ataku
Wrześniowe wydanie zamyka dwanaście błędów bezpieczeństwa, a ten wykorzystywany w atakach jest wśród nich jednym z wielu. Zgłosił go 4 sierpnia badacz Salvatore Gulizia, występujący pod pseudonimem Serotav. Google wyceniło zgłoszenie na tysiąc dolarów. Od zgłoszenia do poprawki minął miesiąc, a w dniu jej wydania Google potwierdziło wykorzystywanie exploita.
Dwanaście poprawek w jednym wydaniu to zresztą zwykły rytm tej przeglądarki, a nie sygnał kryzysu. O skali tej roboty pisaliśmy osobno, przy ponad tysiącu błędów bezpieczeństwa domkniętych w Chrome przez własne narzędzia Google’a.
Termin 18 września, który CISA przypisała tej pozycji, nie jest polskim obowiązkiem. Wiąże amerykańskie agencje federalne, a dla wszystkich pozostałych jest darmową oceną pilności, wystawioną przez instytucję mającą wgląd w dane o atakach. Regułę stojącą za tymi terminami rozpisaliśmy przy czterech lukach z sierpniowym terminem.
Podsumowanie
Numer, który trzeba mieć, to 152.0.7977.82, a na Windowsie i macOS równie dobre jest .83. Sprawdzisz go w kilkanaście sekund pod adresem chrome://settings/help, ale poprawka zacznie działać dopiero po restarcie przeglądarki. Sama luka siedzi w silniku V8 i pozwala wykonać kod wewnątrz piaskownicy procesu renderującego, czyli nie oddaje napastnikowi całego komputera. Do wyjścia poza te ograniczenia potrzebny byłby dodatkowy etap i nikt nie twierdzi, że taki łańcuch zaobserwowano. To rozróżnienie działa w obie strony. Odczytanie skrótu “sandbox RCE” jako ucieczki z piaskownicy przesadza, a wyciąganie z tego wniosku, że sprawa jest błaha, przesadza w drugą stronę. Google potwierdziło wykorzystywanie exploita, a poprawka jest do zainstalowania od trzeciego września. Użytkownicy Edge’a, Opery i pozostałych przeglądarek na Chromium mają dokładnie to samo zadanie, tylko numer wydania sprawdzają u swojego producenta.
