Agenția Americană pentru Securitate Cibernetică și Infrastructură (CISA) a adăugat o vulnerabilitate zero-day critică din Google Chrome la catalogul său Known Exploited Vulnerabilities (KEV) pe 1 aprilie, ordonând agențiilor federale să corecteze vulnerabilitatea până pe 15 aprilie 2026. Măsura a venit după ce Google a lansat actualizări de urgență săptămâna trecută pentru a remedia eroarea, identificată ca CVE-2026-5281, pe care compania a confirmat că este exploatată în practică.
O vulnerabilitate de tip Use-After-Free în stratul grafic al Chrome
Vulnerabilitatea este o eroare de tip use-after-free în Dawn, implementarea open-source, multi-platformă a standardului WebGPU utilizată în browserele bazate pe Chromium. Conform Bazei Naționale de Date privind Vulnerabilitățile, eroarea permite „unui atacator de la distanță care a compromis procesul de randare să execute cod arbitrar printr-o pagină HTML special construită”.
Google a corectat vulnerabilitatea ca parte a unei actualizări mai ample care abordează 21 de vulnerabilități, îndemnat utilizatorii să actualizeze la Chrome versiunea 146.0.7680.177/178 pentru Windows și macOS sau 146.0.7680.177 pentru Linux. Compania nu a furnizat detalii despre natura atacurilor sau actorii de amenințare implicați, menționând doar că „există un exploit pentru CVE-2026-5281 în natură”.
A patra vulnerabilitate zero-day Chrome din 2026
CVE-2026-5281 reprezintă a patra vulnerabilitate zero-day exploatată activ în Chrome, corectat în acest an. Vulnerabilitățile anterioare includ CVE-2026-2441, o eroare use-after-free în componenta CSS a Chrome descoperită în februarie, și două vulnerabilități de severitate înaltă în Skia și V8 — CVE-2026-3909 și CVE-2026-3910 — remediate în martie.
Vulnerabilitatea a fost raportată de un cercetător pseudonim care anterior semnalase alte două erori în Dawn și WebGL, corectate într-o actualizare din 23 martie.
Impact extins dincolo de Chrome
CISA a menționat că vulnerabilitatea ar putea afecta multiple produse bazate pe Chromium, nu doar Chrome, inclusiv Microsoft Edge și Opera. Deoarece Dawn este încorporat într-o gamă largă de aplicații și sarcini cloud care se bazează pe motoare de redare Chromium, experții în securitate avertizează că raza de impact se extinde mult dincolo de navigarea tradițională pe desktop.
Conform Directivei Operaționale Obligatorii 22-01, agențiile din Ramura Executivă Civilă Federală sunt obligate să remedieze vulnerabilitatea până la 15 aprilie 2026. CISA și cercetătorii în securitate au îndemnat organizațiile private să revizuiască catalogul KEV și să acorde prioritate aplicării patch-urilor de asemenea.
Surse:
https://thehackernews.com/2026/04/new-chrome-zero-day-cve-2026-5281-under.html
Google fixes fourth actively exploited Chrome zero-day of 2026