Google menambal Chrome zero-day pertama yang dieksploitasi dalam serangan tahun ini

Google telah merilis pembaruan darurat untuk memperbaiki kerentanan Chrome dengan tingkat keparahan tinggi yang dieksploitasi dalam serangan zero-day, menandai kelemahan keamanan pertama yang diperbaiki sejak awal tahun ini.

“Google menyadari bahwa eksploitasi untuk CVE-2026-2441 ada di alam bebas,” kata Google dalam sebuah pernyataan. penasehat keamanan dikeluarkan pada hari Jumat.

Menurut riwayat penerapan Chromium, kerentanan penggunaan setelah bebas ini (dilaporkan oleh peneliti keamanan Shaheen Fazim) disebabkan oleh bug pembatalan iterator di CSSFontFeatureValuesMap, implementasi nilai fitur font CSS oleh Chrome. Eksploitasi yang berhasil dapat memungkinkan penyerang memicu kerusakan browser, masalah rendering, kerusakan data, atau perilaku tidak terdefinisi lainnya.

Pesan penerapan juga mencatat bahwa patch CVE-2026-2441 mengatasi “masalah langsung” tetapi menunjukkan ada “pekerjaan yang tersisa” yang terlacak di kesalahan 483936078menunjukkan bahwa ini mungkin merupakan perbaikan sementara atau masalah terkait masih perlu diatasi.

Patch tersebut ditandai sebagai “cherry-picked” (atau backported) pada beberapa commit, yang menunjukkan bahwa patch tersebut cukup penting untuk disertakan dalam rilis stabil daripada menunggu versi utama berikutnya (kemungkinan karena kerentanan sedang dieksploitasi secara liar).

Meskipun Google menemukan bukti penyerang mengeksploitasi kelemahan zero-day ini, Google tidak memberikan rincian tambahan mengenai insiden ini.

“Akses ke detail bug dan tautan mungkin akan tetap dibatasi hingga sebagian besar pengguna mendapatkan pembaruan dengan perbaikan. Kami juga akan mempertahankan pembatasan jika bug tersebut ada di perpustakaan pihak ketiga yang juga diandalkan oleh proyek lain, namun belum diperbaiki,” katanya.

Google kini telah memperbaiki kerentanan ini untuk pengguna di saluran Desktop Stabil, dengan versi baru diluncurkan ke pengguna Windows, macOS (145.0.7632.75/76), dan Linux (144.0.7559.75) di seluruh dunia dalam beberapa hari atau minggu mendatang.

Jika Anda tidak ingin memperbarui secara manual, Anda juga dapat membiarkan Chrome memeriksa pembaruan secara otomatis dan menginstalnya setelah peluncuran berikutnya.

Meskipun ini adalah kerentanan keamanan Chrome pertama yang dieksploitasi secara aktif dan ditambal sejak awal tahun 2026, tahun lalu Google menangani total delapan zero-day disalahgunakan di alam liarsebagian besar dilaporkan oleh Threat Analysis Group (TAG) perusahaan tersebut, yang dikenal luas karena melacak dan mengidentifikasi zero-day yang dieksploitasi dalam serangan spyware yang menargetkan individu berisiko tinggi.