W poniedziałek firma Google poinformowała użytkowników przeglądarki Chrome o nowych aktualizacjach zabezpieczeń, które usuwają dziewięć luk, w tym jedną typu „zero-day”, wykorzystywaną w rzeczywistych atakach.

Autor: 4 min czytania

Zero-day w Chrome

Podatność ta, oznaczona numerem CVE-2026-125350 i sklasyfikowana jako luka o wysokim stopniu zagrożenia, dotyczy błędu typu „use-after-free” (odwołanie do pamięci po jej zwolnieniu) w komponencie XML przeglądarki.

Problem został zgłoszony Google 6 listopada przez badacza, który pragnął zachować anonimowość.

Gigant technologiczny nie ujawnił żadnych dodatkowych szczegółów, obecnie brak również informacji na temat ataków wykorzystujących lukę.

Agencja CISA nie dodała jeszcze CVE-2026-125350 do swojego katalogu znanych aktywnie wykorzystywanych luk (Known Exploited Vulnerabilities – KEV).

Jest to już ósma luka typu „zero-day” w przeglądarce Chrome, która została wykorzystana w atakach w bieżącym roku. Poprzednie to: CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 oraz CVE-2026-87491.

Oprócz wspomnianej luki zero-day najnowsze aktualizacje dla Chrome usuwają sześć innych podatności o wysokim stopniu zagrożenia, występujących w komponentach WebGL, FileSystem, Compositing, GPU, V8 oraz XML. Większość z tych błędów została wykryta przez sam zespół Google.

Zero-day w Outlooku

Z kolei w Microsofcie listopadowe aktualizacje wydawane w ramach cyklu „Patch Tuesday” usuwają 1094 luki w zabezpieczeniach produktów firmy, w tym błąd w programie Outlook, który – jak podaje producent – był już wykorzystywany w atakach.

Luka typu „zero-day” z oznaczeniem CVE-2026-124194 została sklasyfikowana jako podatność typu „spoofing” (podszywanie się). Wynika z faktu, że program Outlook nie ostrzega użytkowników przed podjęciem potencjalnie niebezpiecznego działania.

Microsoft ocenił stopień zagrożenia jako „umiarkowany”, przyznając luce wynik 6,5 w skali CVSS. W komunikacie firmy nie podano szczegółów na temat zaobserwowanych ataków. Według Microsoftu aby atak był skuteczny, napastnik musi nakłonić ofiarę do otwarcia złośliwego pliku.

„U nieuwierzytelnionego napastnika istnieje możliwość wysłania specjalnie przygotowanego pliku wiadomości i nakłonienia użytkownika do jego otwarcia w podatnej wersji programu Microsoft Outlook. Otwarcie pliku może spowodować, że Outlook połączy się z lokalizacją sieciową kontrolowaną przez napastnika – bez wyświetlenia standardowego ostrzeżenia o zawartości zewnętrznej. Może to doprowadzić do ujawnienia danych uwierzytelniających, które następnie mogą zostać wykorzystane do podszycia się pod użytkownika” – tłumaczy producent.

Microsoft zaznacza, że luki nie da się wywołać za pośrednictwem panelu podglądu (Preview Pane). Firma doprecyzowała również: „Podatność ta prowadzi do ujawnienia skrótu (hasha) NTLMv2 użytkownika, co pozwala napastnikowi na uwierzytelnienie się w systemie jako ten użytkownik”.

Luka nie została ujawniona publicznie przed udostępnieniem poprawki. Problem dotyczy m.in. pakietów Microsoft 365 Apps for Enterprise, Office LTSC 2021 oraz Office LTSC 2024.

W komunikacie Microsoftu jako odkrywców podatności wskazano badacza posługującego się pseudonimem „nono” oraz Benoîta Sevensa. W podziękowaniach dla Sevensa wspomniano o wykorzystaniu modelu sztucznej inteligencji Claude, stworzonego przez firmę Anthropic.

Listopadowa aktualizacja jest mniej rozbudowana niż październikowa, podczas której Microsoft usunął rekordową liczbę 1413 luk. Dzięki najnowszej serii poprawek łączna liczba podatności naprawionych przez Microsoft w bieżącym roku przekroczyła 5000.

Aktualizacje z tego miesiąca są jednocześnie ostatnimi dla edycji Enterprise oraz Education systemu Windows 11 w wersji 23H2. Urządzenia korzystające z tych edycji nie będą już otrzymywać kolejnych comiesięcznych aktualizacji zabezpieczeń.