Google mbyll defektin e tetë zero-day të Chrome për këtë vit, i shfrytëzuar në sulme

Google ka lëshuar përditësime urgjente sigurie për shfletuesin Chrome, pasi zbuloi se një defekt i ri po shfrytëzohej në sulme reale, siç njofton BleepingComputer në artikullin e publikuar më 10 nëntor 2026. Bëhet fjalë për defektin e tetë zero-day që kompania mbyll që nga fillimi i këtij viti, një shifër që tregon se sulmuesit po i kërkojnë me ngulm dobësitë e shfletuesit më të përdorur në botë. Në këshillimin e sigurisë të së hënës, Google u bëri thirrje përdoruesve që ta përditësojnë Chrome sa më shpejt, sepse shfrytëzimi i defektit është tashmë aktiv.

“Google is aware that an exploit for CVE-2026-125350 exists in the wild,” thuhet në këshillimin e kompanisë, sipas BleepingComputer. Defekti, i klasifikuar si dobësi e llojit Use-After-Free (UAF), ndodhet në komponentin XML të Chrome. Me pak fjalë, analizuesi XML përpunon të dhënat, fshin një objekt nga memoria, por nuk e pastron treguesin që i referohet atij objekti. Kur shfletuesi përpiqet më vonë ta përdorë atë pjesë të memories së liruar, sulmuesit mund të manipulojnë strukturën e memories dhe të ekzekutojnë kod keqdashës. Bëhet fjalë për një dobësi me rrezikshmëri të lartë, që prek korrupsionin e memories dhe mund t’u japë sulmuesve kontroll mbi sistemin e viktimës.

Google ka konfirmuar se ka prova që defekti po shfrytëzohet në sulme reale, por nuk ka dhënë detaje shtesë për incidentet konkrete, siç raporton BleepingComputer. Po ashtu, qasja te detajet e defektit dhe te lidhjet përkatëse mund të mbahet e kufizuar derisa shumica e përdoruesve ta kenë instaluar përditësimin me rregullimin, një praktikë e zakonshme për të mos u dhënë sulmuesve të tjerë një udhëzues gati për shfrytëzim.

Rregullimi po shpërndahet në kanalin Stable Desktop, në versionet 157.0.8103.50/.51 për Windows dhe macOS, si dhe 157.0.8103.50 për Linux. Google thotë se përditësimi mund të marrë ditë apo edhe javë për të arritur te të gjithë, edhe pse BleepingComputer e gjeti të disponueshëm menjëherë kur e kontrolloi sot. Chrome i instalon përditësimet automatikisht në nisjen e radhës, por përdoruesit këshillohen ta kontrollojnë manualisht versionin e tyre dhe ta përditësojnë pa pritur.

Ky nuk është një rast i izoluar. Gjatë këtij viti Google ka mbyllur shtatë zero-day të tjerë të shfrytëzuar në sulme aktive: një defekt të pavlefshmërisë së iteratorit në CSS në shkurt (CVE-2026-2441), dy në mars — në bibliotekën grafike Skia (CVE-2026-3909) dhe në motorin V8 (CVE-2026-3910) — një use-after-free në Dawn në prill (CVE-2026-5281), një defekt në V8 në qershor (CVE-2026-11645), si dhe dy defekte në V8 në shtator (CVE-2026-87491 dhe CVE-2026-85046). Në vitin 2025, kompania rregulloi tetë zero-day të shfrytëzuar, çka e bën përditësimin e menjëhershëm të shfletuesit një nga masat më të thjeshta, por edhe më të rëndësishme, të sigurisë kibernetike për çdo përdorues.