Google a lansat o actualizare de securitate de urgență pentru browserul Chrome pe 12 martie, remediind două vulnerabilități de severitate ridicată care erau deja exploatate de atacatori. Defectele, identificate ca CVE-2026-3909 și CVE-2026-3910, reprezintă a doua și a treia vulnerabilitate zero-day Chrome exploatată activ și remediată în acest an.
Actualizarea aduce canalul Stable al Chrome la versiunea 146.0.7680.75/76 pentru Windows și Mac, și 146.0.7680.75 pentru Linux, conform blogului Chrome Releases. Google a restricționat accesul la informațiile detaliate despre defecte, așa cum este practica standard, „până când majoritatea utilizatorilor vor fi actualizați cu un remediu.”
Vulnerabilitățile
CVE-2026-3909 este o vulnerabilitate de scriere în afara limitelor (out-of-bounds write) în Skia, biblioteca grafică open-source utilizată de Chrome pentru randare. Un atacator la distanță ar putea crea o pagină web special concepută pentru a declanșa defecțiunea și a executa cod arbitrar pe un sistem țintă. Vulnerabilitatea are un scor de bază CVSS v3 de 8.8, fiind clasificată ca având severitate mare.
CVE-2026-3910 provine dintr-o implementare incorectă a verificării de securitate în V8, motorul JavaScript al Chrome. Exploatarea necesită în mod similar să convingi un utilizator să viziteze o pagină web malițioasă, permițând potențial atacatorului să compromită sistemul. Ambele vulnerabilități sunt clasificate ca fiind critice de unele baze de date de securitate datorită potențialului lor de exploatare la distanță și utilizării confirmate în medii reale (in-the-wild).
Un număr în creștere pentru 2026
Cele două noi vulnerabilități aduc numărul total al zero-day-urilor Chrome exploatate activ în acest an la trei. Prima, CVE-2026-2441, a fost o eroare de tip use-after-free în componenta CSS a Chrome, remediată în februarie printr-o actualizare de urgență la Chrome 145. Acea vulnerabilitate, descoperită de cercetătorul în securitate Shaheen Fazim, a avut de asemenea un scor CVSS de 8.8 și putea permite execuția de cod de la distanță în interiorul sandbox-ului Chrome.
Google a remediat opt vulnerabilități zero-day similare în Chrome pe parcursul anului 2025, iar un raport recent al Google Threat Intelligence Group a constatat că 90 de vulnerabilități zero-day au fost exploatate activ în întreaga industrie anul trecut.
Ce ar trebui să facă utilizatorii
Utilizatorii Chrome și ai altor browsere bazate pe Chromium, inclusiv Microsoft Edge, Brave, Opera și Vivaldi, sunt îndemnați să actualizeze imediat. Chrome se actualizează de obicei automat la repornire, dar utilizatorii pot declanșa manual procesul accesând Setări, apoi Despre Chrome. Google nu a divulgat detalii despre cine se află în spatele exploatării sau care ținte au fost afectate.
Surse:
https://www.cybersecurity-help.cz/vdb/SB2026031278
https://www.cybersecurity-help.cz/vdb/vulns/123975/
Google fixes first actively exploited Chrome zero-day of 2026