A Google sürgős javítást adott ki egy újabb Chrome nulladik napi sebezhetőségre, és ezt már valódi felhasználók ellen is kihasználták, mielőtt a javítás megérkezett. A CVE-2026-85046 azonosítójú sebezhetőség egy magas súlyosságú besorolású típuszavar (type confusion) hiba, és a Google megerősítette, hogy aktívan kihasználták a vadonban. Ha eddig figyelmen kívül hagyta a böngészőfrissítési értesítést, akkor ezen a héten érdemes abbahagynia.

Mi történt a CVE-2026-85046-tal

A BleepingComputer beszámolója szerint a hiba a Chrome renderelő motorjában található, és egy típuszavar-problémából ered. Ez a hibaosztály akkor fordul elő, amikor a böngésző egy adatdarabot az egyik objektumtípusként kezel, miközben az valójában egy másik. Ez az eltérés lehetővé teheti a támadók számára a memória módosítását, és a legrosszabb esetben saját kódjuk futtatását az áldozat gépén pusztán azzal, hogy ráveszik egy rosszindulatú weboldal betöltésére.

A Google a problémát a Chrome 152.0.7977.82/.83 verziójában javította Windows és macOS rendszereken, Linuxon pedig a 152.0.7977.82 verzióban. A frissítés nem egyedül érkezett. A Google további 11 probléma javítását is beépítette ugyanabba a kiadásba, ami meglehetősen jellemző egy stabil csatornás frissítésre, de a nulladik napi sebezhetőség a legfontosabb, mert már a javítás létezése előtt kihasználták.

A szokásos gyakorlatnak megfelelően a Google visszatartotta a legtöbb technikai részletet a kihasználásról és arról, hogy ki állhat mögötte. Ez szándékos döntés: a részletek túl korai közzététele térképet adna mindazoknak, akik még nem telepítették a frissítést. Ez azt is jelenti, hogy a legtöbb felhasználó soha nem fogja megtudni, hogy személyesen célpontja volt-e, és éppen ezért fontosabb a gyors javítás, mint további információkra várni.

Miért történik ez újra és újra

A vadonban kihasznált Chrome nulladik napi sebezhetőségek visszatérő történetté váltak, nem ritka eseménnyé, és a CVE-2026-85046 illeszkedik ebbe a mintába. A típuszavar és a use-after-free hibák a Google biztonsági csapatai és külső kutatók által leggyakrabban felfedezett kategóriák közé tartoznak, nagyrészt azért, mert a Chrome renderelő motorjának minden oldalbetöltéskor hatalmas mennyiségű nem megbízható kódot kell feldolgoznia a nyílt webről. Azok a támadók, akik ezeket a hibákat a Google előtt megtalálják, csendesen fegyverré alakíthatják őket, gyakran szűk célpontkör ellen, mielőtt a szélesebb körű nyilvánosságra hozatal javításra kényszerítené a vállalatot.

Korábbi, ugyanezzel a sebezhetőséggel foglalkozó cikkünk részletesebben bemutatta a CVE-2026-85046-hoz kapcsolódó adatvédelmi kockázatot, és érdemes újra átolvasni, ha mélyebb technikai elemzést szeretne. Ez nem is az első eset idén, hogy a Google-nek sürgős javítással kellett előállnia, hasonló mintát követtet a Google korábbi sürgős Chrome-javításáról szóló beszámolónk.

Mit jelent ez Önnek

A legtöbb hétköznapi Chrome-felhasználó számára egyetlen nulladik napi sebezhetőség gyakorlati kockázata gyakran alacsonyabb, mint amit a címlapok sugallnak. Az ehhez hasonló, frissen felfedezett sebezhetőségeket kihasználó támadások általában célzottak, nem pedig az egész internetre kiterjedően szórtak, gyakran konkrét személyekre irányulnak, például újságírókra, aktivistákra vagy érzékeny pozícióban lévő emberekre. Mindazonáltal, amint egy sebezhetőség nyilvános tudássá válik, az alkalmi támadók számára a saját kihasználások kidolgozására rendelkezésre álló időablak gyorsan szűkül, így a frissítés késleltetése egy szűk kockázatot szélesebb kockázattá alakít.

Ha a Chrome-ot bármilyen érzékeny böngészésre használja, legyen szó bankügyekről, munkahelyi e-mailről vagy egyszerűen olyan fiókokba való bejelentkezésről, amelyeket inkább privátban szeretne tartani, a nem javított böngésző az egyik legkönnyebb belépési pont bárki számára, aki megpróbálja elfogni az adatait. Egy kódfuttatást lehetővé tevő típuszavar hiba rossz kezekben kémprogram telepítésére, munkamenet-sütik ellopására vagy fiókok eltérítésére használható anélkül, hogy bármi szokatlant venne észre a képernyőn.

Hogyan ellenőrizze és frissítse a Chrome-ot

A Chrome általában automatikusan frissül a háttérben, de a javítás csak a böngésző újraindítása után lép életbe. Annak megerősítéséhez, hogy védett-e, nyissa meg a Chrome-ot, kattintson a jobb felső sarokban lévő hárompontos menüre, majd lépjen a Súgó, majd a Google Chrome névjegy menüpontra. Ez megmutatja az aktuális verziót, és elindítja a frissítések keresését, ha még nem telepítették. Amikor befejeződik, keresse a fent említett verziószámokat, 152.0.7977.82 vagy .83, az operációs rendszertől függően, és indítsa újra a böngészőt a frissítés befejezéséhez.

Ugyanez a tanács vonatkozik a Google motorjára épülő Chromium-alapú böngészőkre is, mivel közülük sok hasonló renderelő kódot örököl, és valószínűleg saját kiadási ütemtervük szerint kapnak hasonló javításokat.

Gyakorlati tanulságok

Ellenőrizze még ma a Chrome verzióját, és indítsa újra a böngészőt, ha frissítés van függőben, ahelyett hogy hagyná a következő ütemezett újraindításig. Kapcsolja be az automatikus frissítéseket, ha még nem tette meg, mert a manuális ellenőrzést könnyű elfelejteni. Legyen óvatos az ismeretlen hivatkozásokra kattintással vagy ismeretlen oldalak látogatásával, amíg meg nem győződött arról, hogy böngészője naprakész, mivel ennek a hibának a kihasználásához nem kellett más, mint egy rosszindulatú oldal betöltése. Végül kísérje figyelemmel a jövőbeli Chrome nulladik napi sebezhetőségek nyilvánosságra hozatalát. Az idei minta azt mutatja, hogy a Google gyorsan megtalálja és javítja ezeket a problémákat, de ez a gyorsaság csak akkor védi meg Önt, ha ténylegesen telepíti a frissítést, amikor megérkezik.