Aktívan kihasznált hibát javít a Chrome 157: így ellenőrizd, hogy frissült-e a böngésződ

A Google hétfőn, november 9-én frissítette a Chrome asztali, stabil csatornáját. A hivatalos Chrome Releases bejegyzés szerint a Windowsra és Macre a 157.0.8103.50 és a 157.0.8103.51, Linuxra a 157.0.8103.50-es verzió érkezik, és a bevezetés napokig vagy hetekig tarthat. A frissítés kilenc biztonsági hibát javít. Közülük a CVE-2026-125350 jelű, magas besorolású, „use-after-free” típusú hiba a böngésző XML-összetevőjét érinti, és a Google közlése szerint létezik rá élesben használt kihasználó kód.

A Nemzeti Kiberbiztonsági Intézet ugyanezt a kiadást ismertette: a Google a hibát feltehetően aktívan kihasznált, nulladik napi sérülékenységként javította, és az NKI szerint ez a Chrome idei nyolcadik ilyen, feltehetően aktívan kihasznált hibája. A kutató, aki a CVE-2026-125350-et november 6-án jelentette, a Google bejegyzése szerint anonim maradt. A cég nem közölt részleteket arról, ki és hogyan használta ki a hibát, és kik lehetnek a célpontok; ezeket itt sem írjuk le, mert nem ismertek. A „mindenkit veszélyeztet” típusú általánosításnak nincs alapja a forrásokban.

Ez a cikk az asztali Chrome ellenőrzéséről szól, mert a pontos, a hibához kötött verziószámokat a Google a Windows, a Mac és a Linux kiadásánál adta meg. Telefonos általánosítást ezért nem teszünk.

Mit javít a Chrome 157 az asztali gépeken?

A „use-after-free” azt jelenti, hogy a program egy már felszabadított memóriaterülethez nyúl vissza. Ilyen hiba a böngészőben súlyos következménnyel járhat, ezért kapott magas besorolást. A Google a CVE-2026-125350 mellett további magas besorolású javításokat is felsorol a WebGL, a FileSystem, a Compositing, a GPU, a V8 és szintén az XML komponensekben, valamint két közepes súlyosságú, a GPU-t érintő hibát. A hibák többségét a cég saját belső vizsgálatai során találta meg; a CVE-2026-125350-et külső, anonim bejelentő jelentette.

Az NKI megjegyzi, hogy a sérülékenység a közlés idején még nem szerepelt a CISA ismert, kihasznált hibákat tartalmazó katalógusában. Ez nem jelenti azt, hogy a hiba ártalmatlan: a Google külön kiemelte, hogy a CVE-2026-125350-re létezik élesben használt kihasználó kód. A részletek korlátozása a Chrome Releases szövege szerint addig is fennmaradhat, amíg a felhasználók többsége megkapja a javítást.

Ezt is olvasd el: Visszaszereznék az elcsalt pénzed, ha előre fizetsz? Így működik a hatóság nevében hívó helyreállítási csalás

A bevezetés nem azonnali, minden gépen egyszerre. A Google azt írja, hogy a frissítés a következő napokban vagy hetekben fut ki. Ezért érdemes nem csak arra várni, hogy a böngésző magától újrainduljon, hanem megnézni a pontos verziószámot.

Hogyan ellenőrzöd, hogy megvan-e a javítás?

Nyisd meg a Chrome-ot a számítógépeden. A jobb felső sarokban kattints a három pontra, válaszd a Beállításokat, majd az „A Chrome névjegye” menüpontot. A böngésző ekkor ellenőrzi, van-e új verzió. Ha talál frissítést, telepíti, és általában újraindítást kér. Az újraindítás után a névjegyoldalon megjelenő számot hasonlítsd össze a hivatalos kiadással: Windowson és Macen a 157.0.8103.50 vagy a 157.0.8103.51, Linuxon a 157.0.8103.50 a cél.

Ha a szám kisebb, ismételd meg a névjegyoldalas ellenőrzést, és indítsd újra a böngészőt, amikor a Chrome ezt kéri. Az NKI a frissítés mielőbbi telepítését javasolja. A cég nem ad külön határidőt, de a napokig-hetekig tartó kivezetés miatt a kézi ellenőrzés praktikus: így nem a találomra feltett „már frissült?” kérdésre támaszkodsz, hanem egy konkrét verziószámra.

Az asztali Extended Stable csatornára a Google ugyanezen a napon, november 9-én külön bejegyzésben a 156.0.8078.96-os Windows- és Mac-verziót adta ki, és ebben a listában is szerepel a CVE-2026-125350. Ha valaki nem a szokásos stabil, hanem a kiterjesztett stabil csatornát használja, a releváns szám tehát nem a 157-es, hanem ez a 156-os kiadás. A cikk gyakorlati útmutatója a szélesebb körben használt, 157-es stabil csatornára vonatkozik.

Mit ír a Google az androidos és az iOS-es Chrome-ról?

Az androidos, november 9-i hivatalos bejegyzés a 157.0.8103.50-es kiadásról először stabilitási és teljesítményjavításokat említ. A szövegben szerepel egy általános mondat is: az androidos kiadások a megfelelő asztali kiadások biztonsági javításait tartalmazzák, hacsak másként nem jelzik. Ebből nem készítünk külön, telefonos telepítési útmutatót, és nem állítjuk tételmondatként, hogy minden androidos készüléken már ez a hiba van javítva; a Play Áruházon a Google szerint a kiadás a következő napokban válik elérhetővé.

Az iOS-es, november 10-i bejegyzés a 158.0.8127.32-es kiadásról csak stabilitási és teljesítményjavításokat említ. Ebből nem következik, hogy az iOS-es Chrome is a CVE-2026-125350-et javítja, ezért erre nem általánosítunk.

A ChromeOS november 6-i, 156-os stabil bejegyzésének a forrásban látható biztonsági listája ezt a CVE-azonosítót nem tartalmazza; a ChromeOS-re vonatkozó állítást ezért itt nem tesszük meg.

Ezt is olvasd el: Kincstári számlát nyittatnak, majd kiürítik: így támadják a csalók az állampapír-megtakarításokat

A lényeg a gyakorlatban az, hogy asztali gépen a névjegyoldalon nézd meg a számot, és hasonlítsd a fenti, hivatalos verziókhoz. A telefonos áruházi frissítés menete ettől eltérő, és a mostani források alapján nem állítjuk, hogy ugyanaz a teendő, ugyanazzal a bizonyossággal.

Ha a közelmúltban a frissítetlen telefonokat érintő, APT29-hez kötött kampányról olvastál, az más támadási történet, nem ez a Chrome-hiba; a tanulság ott is a naprakész rendszer volt. A Windows biztonsági frissítéseinek külön, hosszú távú csatornájáról ebben a cikkben írtunk. A böngészőben felugró, teljes képernyős riadókról pedig itt van gyakorlati útmutató: azok gyakran nem a hivatalos frissítési ablakot jelentik.

Gyakori kérdések

Melyik Chrome-verzió javítja a CVE-2026-125350-et asztali gépen?

A Google asztali, stabil csatornájának november 9-i bejegyzése szerint Windowson és Macen a 157.0.8103.50 vagy a 157.0.8103.51, Linuxon a 157.0.8103.50. A kiterjesztett stabil csatornán ugyanez a CVE a 156.0.8078.96-os Windows- és Mac-kiadás listáján szerepel.

Hogyan nézem meg a Chrome verziószámát?

A három pontra, majd a Beállításokra és az „A Chrome névjegye” pontra kell kattintani. A böngésző ellenőrzi a frissítést; ha van új verzió, telepítés után indítsd újra, és a névjegyoldalon hasonlítsd össze a számot a hivatalos kiadással.

Az androidos vagy az iOS-es Chrome-om is automatikusan védve van ettől a hibától?

Ezt itt nem állítjuk. Az iOS-es bejegyzés csak stabilitási és teljesítményjavításokat említ. Az androidos bejegyzés stabilitást és teljesítményt említ, és általános mondatként a megfelelő asztali biztonsági javításokra utal, hacsak másként nem jelzik; ebből nem adunk külön, telefonos útmutatót.

Közölte a Google, hogy kit támadtak ezzel a hibával?

Nem. A cég azt írta, hogy létezik élesben használt kihasználó kód, de a kihasználás módjáról és a célpontokról nem adott közre részleteket. Az NKI is azt rögzíti, hogy további információt a Google egyelőre nem közölt.

Források

• Nulladik napi XML hibát javít a Chrome legújabb frissítése – Nemzeti Kiberbiztonsági Intézet
• Stable Channel Update for Desktop – Chrome Releases
• Chrome for Android Update – Chrome Releases
• Chrome Stable for iOS Update – Chrome Releases