CVE-2026-11645: aktywnie używana luka w Chrome

Google usunął z Chrome podatność CVE-2026-11645 w silniku JavaScript V8 i potwierdził, że exploit dla tej luki istnieje w rzeczywistych atakach. To wystarczający powód, by potraktować aktualizację przeglądarek opartych na Chromium jako pilną — bez dopisywania historii o sprawcy, celu czy skali kampanii, których producent nie ujawnił.

Co dokładnie potwierdził Google

W komunikacie o wydaniu stabilnego Chrome Google sklasyfikował CVE-2026-11645 jako podatność o wysokiej wadze. Błąd dotyczy dostępu do pamięci poza dozwolonym zakresem (out-of-bounds memory access) w V8, czyli silniku wykonującym kod JavaScript w Chrome. Producent napisał również wprost, że ma świadomość istnienia exploita używanego „in the wild”.

Aktualizacja Chrome zawierała łącznie 74 poprawki bezpieczeństwa. Nie oznacza to jednak, że wszystkie te błędy były wykorzystywane. Potwierdzenie aktywnej eksploatacji w komunikacie odnosi się do CVE-2026-11645 i tylko taki wniosek można bezpiecznie wyciągnąć z informacji producenta.

Kanadyjskie Centrum Cyberbezpieczeństwa potwierdziło zakres podatnych wersji, a CISA dodała CVE do katalogu Known Exploited Vulnerabilities. Obecność w KEV oznacza, że priorytet wynika z dowodów wykorzystania, a nie wyłącznie z teoretycznej oceny technicznej.

Jakie wersje są bezpieczne

Poprawka trafiła do następujących wersji stabilnych:

• Chrome na Windows i macOS: 149.0.7827.102 lub 149.0.7827.103;
• Chrome na Linux: 149.0.7827.102;
• Microsoft Edge: 149.0.4022.62 lub nowsza.

Jeżeli przeglądarka pokazuje niższy numer, urządzenie pozostaje na podatnej gałęzi. Samo włączenie automatycznych aktualizacji nie daje pewności, że proces już się zakończył: Google rozprowadza wydania etapami, a działająca od wielu dni przeglądarka może czekać na ponowne uruchomienie.

W Chrome numer sprawdzisz pod adresem chrome://settings/help, a w Edge pod edge://settings/help. Wejście na tę stronę uruchamia również kontrolę dostępności aktualizacji. Po instalacji trzeba zamknąć i ponownie uruchomić wszystkie okna przeglądarki.

Dlaczego błąd w V8 jest istotny

V8 przetwarza kod pochodzący z odwiedzanych stron. Błąd pamięci w tym komponencie może zostać uruchomiony przez odpowiednio przygotowaną treść internetową. Publiczny komunikat nie opisuje pełnego łańcucha ataku ani warunków skutecznego wykorzystania, dlatego nie należy zakładać, że samo otwarcie każdej podejrzanej strony prowadzi automatycznie do pełnego przejęcia systemu.

Z punktu widzenia obrony nie trzeba jednak znać szczegółów exploita, by podjąć decyzję. Przeglądarka jest wystawiona na niezaufane treści przez cały dzień, a producent potwierdził realne wykorzystanie. To klasyczny przypadek, w którym aktywna eksploatacja powinna przeważyć nad samym wynikiem CVSS.

Co powinien zrobić użytkownik

1. Sprawdź numer wersji, zamiast zakładać, że aktualizacja wykonała się sama.
2. Zainstaluj wskazaną lub nowszą wersję Chrome albo Edge.
3. Uruchom przeglądarkę ponownie. Bez restartu stary proces może nadal działać na podatnym kodzie.
4. Zaktualizuj wszystkie profile i urządzenia, także prywatny komputer używany do pracy oraz stanowiska współdzielone.
5. Nie instaluj „poprawki” z reklamy lub wiadomości e-mail. Aktualizuj przez mechanizm przeglądarki albo oficjalny system zarządzania oprogramowaniem.

Jeżeli urządzenie nie może otrzymać aktualnej wersji z powodu niewspieranego systemu operacyjnego, rozwiązaniem nie jest pozostawienie starej przeglądarki. Trzeba przejść na wspierany system lub czasowo użyć aktualnej, wspieranej alternatywy.

Co powinien zrobić administrator

W firmie ręczne przypomnienie użytkownikom nie wystarcza. Administrator powinien odczytać rzeczywiste wersje z systemu MDM, EDR lub narzędzia do zarządzania stacjami, a następnie porównać je z progami poprawek. Warto objąć kontrolą Chrome, Edge oraz inne wdrożone przeglądarki Chromium, sprawdzając ich własne komunikaty producenta.

Priorytetem są stacje z dostępem do poczty, paneli administracyjnych i danych firmowych. Ustal krótki termin aktualizacji, wymuś ponowne uruchomienie procesu i zweryfikuj wykonanie, zamiast ograniczać się do wysłania polityki. Taki cykl — inwentaryzacja, wdrożenie i potwierdzenie — powinien być częścią stałego procesu zarządzania podatnościami.

Jeżeli telemetria wskazuje uruchamianie nietypowych procesów potomnych przeglądarki, nieoczekiwane rozszerzenia lub inne anomalie na podatnej stacji, zachowaj dane i przeprowadź analizę incydentu. Samo zainstalowanie poprawki zabezpiecza przed przyszłym użyciem luki, ale nie rozstrzyga, czy wcześniej doszło do ataku.

Najważniejszy wniosek

CVE-2026-11645 nie wymaga paniki ani spekulacji. Wymaga szybkiej, mierzalnej aktualizacji. Doprowadź Chrome do 149.0.7827.102/.103, Edge do co najmniej 149.0.4022.62, uruchom przeglądarki ponownie i sprawdź stan z poziomu centralnego systemu. To prostsze i skuteczniejsze niż próba zgadywania, kto używa exploita i przeciwko komu.

---

Źródła: Google Chrome Releases, Canadian Centre for Cyber Security — AV26-561, CISA KEV — CVE-2026-11645.