Bug Chrome yang Sudah Digunakan Penyerang

Google telah menambal kerentanan zero-day Chrome lain yang dieksploitasi secara aktif, dan waktu kini semakin menipis bagi siapa pun yang belum memperbarui. Kerentanan ini, yang dilacak sebagai CVE-2026-85046, diperbaiki pada 4 September 2026, tetapi Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) telah menambahkannya ke katalog Kerentanan yang Telah Diketahui Dieksploitasi (KEV), memberikan waktu hingga 18 September bagi lembaga federal untuk menerapkan tambalan. Jangka waktu yang pendek ini merupakan sinyal kuat tentang betapa seriusnya pejabat keamanan menangani bug ini, dan ini menjadi pengingat bahwa pengguna Chrome sehari-hari juga tidak boleh menunda-nunda.

Ini bukan pertama kalinya kerentanan spesifik ini menjadi berita utama. Seperti yang kami bahas saat tambalan zero-day Chrome CVE-2026-85046 pertama kali dirilis, Google mengeluarkan pembaruan darurat setelah mengonfirmasi serangan dunia nyata telah mengeksploitasi kerentanan tersebut sebelum perbaikan tersedia. Tenggat CISA menambah lapisan urgensi baru pada kisah yang sudah bergerak cepat.

Apa yang Membuat CVE-2026-85046 Berbahaya

CVE-2026-85046 berada di V8, mesin JavaScript dan WebAssembly yang menggerakkan Chrome dan semua browser berbasis Chromium. Secara spesifik, ini adalah kerentanan kebingungan tipe (type confusion), kelas bug di mana browser salah mengidentifikasi jenis data yang sedang ditangani, yang dapat memungkinkan penyerang memanipulasi memori dengan cara yang tidak pernah dimaksudkan. Dalam praktiknya, ini berarti halaman web yang dirancang khusus dapat memicu kerentanan tersebut dan berpotensi mencapai eksekusi kode arbitrer di dalam sandbox browser, lingkungan terisolasi yang digunakan Chrome untuk mencegah konten berbahaya menyentuh sistem Anda yang lain.

Karena kerentanan ini sudah dieksploitasi di dunia nyata sebelum Google merilis perbaikan, kerentanan ini memenuhi syarat sebagai zero-day sejati. Penyerang tidak perlu merekayasa balik tambalan untuk mencari tahu cara menyalahgunakan bug tersebut; mereka sudah menggunakannya terhadap target nyata. Itulah sebabnya CISA bergerak cepat untuk menambahkannya ke katalog KEV, daftar yang disediakan untuk kerentanan dengan eksploitasi aktif yang terkonfirmasi, bukan sekadar risiko teoretis.

Perbaikan tersebut hadir sebagai bagian dari rilis keamanan Chrome yang lebih luas yang menangani beberapa kerentanan, tetapi CVE-2026-85046 menonjol karena status eksploitasi aktifnya. Seperti yang kami jelaskan dalam liputan sebelumnya yang mendorong pengguna untuk memperbarui Chrome sekarang karena risiko privasi, eksploitasi yang berhasil berpotensi mengekspos aktivitas penjelajahan, data sesi, atau informasi sensitif lainnya kepada penyerang yang mendapatkan eksekusi kode di dalam browser Anda.

Mengapa Tenggat CISA Penting di Luar Jaringan Pemerintah

Katalog KEV CISA secara teknis adalah mandat untuk lembaga sipil federal, tetapi dampak dunia nyatanya menjangkau jauh lebih luas. Ketika CISA menetapkan tenggat keras seperti 18 September, itu sebenarnya menyiarkan peringkat risiko ke seluruh industri keamanan: bug ini serius, sedang digunakan secara aktif, dan organisasi dari semua ukuran harus memperlakukan penambalan sebagai prioritas, bukan pembaruan rutin yang bisa dikerjakan nanti.

Banyak perusahaan, departemen TI, dan tim keamanan di luar pemerintahan menggunakan katalog KEV sebagai tolok ukur untuk jadwal manajemen tambalan mereka sendiri. Jika sebuah kerentanan masuk dalam daftar, biasanya kerentanan itu melompat ke urutan teratas antrean. Untuk pengguna individu, tidak ada tenggat formal, tetapi logika yang sama berlaku. Chrome memperbarui dirinya sendiri secara otomatis di latar belakang untuk sebagian besar pengguna, tetapi itu hanya berfungsi jika browser mendapatkan kesempatan untuk dimulai ulang dan menerapkan pembaruan. Jika Anda membiarkan tab Chrome yang sama terbuka selama berhari-hari atau berminggu-minggu tanpa memulai ulang, Anda mungkin masih menjalankan versi yang rentan.

Apa Artinya Ini Bagi Anda

Jika Anda menggunakan Chrome, atau browser berbasis Chromium lain yang mewarisi mesin V8 yang sama, ini layak mendapat perhatian lima menit hari ini. Eksploitasi ini tidak mengharuskan Anda mengunduh file atau mengklik tautan mencurigakan dalam arti tradisional; hanya mengunjungi halaman web berbahaya atau yang disusupi sudah cukup untuk memicunya. Ini menjadikan penambalan browser salah satu dari sedikit tugas keamanan di mana perbaikannya sepenuhnya dalam kendali Anda dan hampir tidak memerlukan usaha.

Pengguna rumahan, usaha kecil, dan siapa pun yang mengelola perangkat mereka sendiri harus memperlakukan ini dengan cara yang sama seperti CISA memperlakukan jaringan federal: sebagai prioritas, bukan tugas yang bisa ditunda. Kabar baiknya, tidak seperti banyak kerentanan, yang satu ini sudah memiliki perbaikan yang tersedia dan menunggu.

Langkah-Langkah yang Dapat Diambil

  • Buka menu Chrome, buka Bantuan > Tentang Google Chrome, dan biarkan ia memeriksa pembaruan. Mulai ulang browser setelah pembaruan diunduh untuk memastikan tambalan benar-benar berlaku.
  • Periksa browser berbasis Chromium apa pun yang Anda gunakan (termasuk yang dibangun di atas mesin yang sama) untuk pembaruan keamanan mereka sendiri, karena kerentanan V8 yang mendasarinya dapat memengaruhinya juga.
  • Jangan hanya mengandalkan pembaruan otomatis di latar belakang jika Anda jarang menutup atau memulai ulang browser. Memicu pemeriksaan secara manual memastikan Anda tidak menjalankan kode yang usang dan rentan.
  • Jika Anda mengelola perangkat untuk bisnis atau organisasi, prioritaskan tambalan ini dengan cara yang sama seperti tenggat KEV CISA menyarankan lembaga federal, bahkan jika Anda tidak terikat dengan tanggal 18 September yang sama.
  • Tetap waspada terhadap buletin keamanan Chrome di masa mendatang. Zero-day seperti CVE-2026-85046 cenderung datang dalam kelompok, dan penambalan yang cepat tetap menjadi pertahanan paling andal yang tersedia bagi pengguna sehari-hari.

Memperbarui browser Anda hanya butuh sesaat, tetapi itu menutup pintu bagi kerentanan yang sudah digunakan penyerang sebelum Google bahkan memiliki perbaikan yang siap. Kesenjangan antara eksploitasi dan tambalan inilah yang menjadi alasan mengapa tetap mengikuti pembaruan Chrome layak mendapat tempat permanen dalam daftar periksa keamanan digital Anda.