Google merilis pembaruan darurat Chrome pada 9 November 2026 untuk menambal CVE-2026-125350, celah keamanan yang sudah dieksploitasi di dunia nyata (in the wild). Sehari kemudian, 10 November 2026, badan keamanan siber Amerika Serikat (CISA) memasukkan celah ini ke katalog Known Exploited Vulnerabilities (KEV) dengan tenggat penambalan 24 November 2026 bagi instansi federal AS.
Celah ini berada di Chromium, mesin yang dipakai bukan hanya oleh Chrome, tetapi juga Microsoft Edge, Opera, Brave, Vivaldi, dan banyak browser lain. Cukup dengan membuka halaman web yang sudah dirancang khusus, penyerang bisa menjalankan kode di komputer korban.
Ringkasan Singkat
| Aspek | Detail |
|---|---|
| CVE | CVE-2026-125350 |
| Jenis celah | Use-after-free (CWE-416) di komponen XML Chromium |
| Tingkat keparahan | High (Chromium); CVSS 3.1: 8,8 |
| Dampak | Eksekusi kode arbitrer di dalam sandbox browser lewat halaman HTML berbahaya |
| Status eksploitasi | Aktif dieksploitasi (dikonfirmasi Google dan CISA) |
| Versi aman Chrome desktop | 157.0.8103.50/.51 (Windows, Mac), 157.0.8103.50 (Linux) atau lebih baru |
| Versi aman Extended Stable | 156.0.8078.96 (Windows, Mac) atau lebih baru |
| Masuk KEV CISA | 10 November 2026, tenggat 24 November 2026 |
Apa Itu CVE-2026-125350?
Menurut deskripsi resmi di NVD, CVE-2026-125350 adalah “use after free in XML in Google Chrome prior to 157.0.8103.50” yang memungkinkan penyerang jarak jauh mengeksekusi kode arbitrer di dalam sandbox melalui halaman HTML yang dirancang khusus.
Apa itu use-after-free?
Use-after-free terjadi ketika program masih memakai area memori yang sebenarnya sudah dibebaskan (free). Area memori itu bisa diisi ulang oleh data lain. Jika penyerang berhasil mengatur isi memori tersebut, ia bisa membuat browser crash atau, lebih berbahaya, menjalankan kode miliknya sendiri. Kelas bug ini sangat umum pada software yang ditulis dengan C dan C++ seperti browser, dan menjadi sumber utama zero-day browser selama bertahun-tahun.
Skor CVSS
| Metrik | Nilai | Arti |
|---|---|---|
| Attack Vector | Network | Bisa diserang dari jarak jauh lewat internet |
| Attack Complexity | Low | Tidak butuh kondisi khusus |
| Privileges Required | None | Penyerang tidak perlu akun atau akses apa pun |
| User Interaction | Required | Korban harus membuka halaman berbahaya |
| Confidentiality / Integrity / Availability | High / High / High | Dampak penuh jika berhasil |
Vektor lengkap: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H dengan skor dasar 8,8 (High). Dalam penilaian SSVC, CISA mencatat status eksploitasi “active” dan dampak teknis “total”.
“Di dalam sandbox” itu artinya apa?
Chrome menjalankan konten web di dalam sandbox, semacam “ruang isolasi” yang membatasi akses ke sistem operasi. Jadi, eksploitasi celah ini saja belum tentu berarti komputer sepenuhnya diambil alih. Namun dalam praktiknya, penyerang sering menggabungkan celah seperti ini dengan celah kedua untuk keluar dari sandbox (sandbox escape). Hingga artikel ini ditulis, tidak ada informasi publik bahwa rantai seperti itu dipakai dalam serangan ini, tetapi celah ini tetap harus dianggap serius.
Kronologi
| Tanggal | Kejadian |
|---|---|
| 12 Oktober 2026 | Arni Hardarson (Neonix Security) melaporkan bug ini ke Google |
| 6 November 2026 | Pelapor anonim juga melaporkan bug yang sama |
| 9 November 2026 | Google merilis Chrome 157.0.8103.50/.51 dan Extended Stable 156.0.8078.96, serta menyatakan “Google is aware that an exploit for CVE-2026-125350 exists in the wild” |
| 9 November 2026 | Microsoft menyatakan mengetahui eksploitasi ini dan sedang menyiapkan perbaikan untuk Edge |
| 10 November 2026 | CISA memasukkan CVE-2026-125350 ke katalog KEV, tenggat 24 November 2026 |
| 11 November 2026 | Microsoft merilis Edge for Android 157.0.4341.53 yang berisi perbaikan celah ini |
Google tidak membagikan detail siapa pelaku, siapa targetnya, atau bagaimana eksploitasi dilakukan. Ini praktik standar Google agar penyerang lain tidak bisa meniru serangan sebelum mayoritas pengguna memperbarui browser. Laporan bug di pelacak Chromium juga masih dibatasi. Sejumlah media keamanan mencatat ini sebagai zero-day Chrome kedelapan yang dieksploitasi sepanjang 2026.
Celah Lain di Pembaruan yang Sama
Pembaruan Chrome 157.0.8103.50 berisi total 9 perbaikan keamanan. Selain CVE-2026-125350, Google mencantumkan:
| CVE | Tingkat | Komponen | Jenis |
|---|---|---|---|
| CVE-2026-125345 | High | WebGL | Uninitialized resource |
| CVE-2026-125347 | High | FileSystem | Incorrect authorization |
| CVE-2026-125343 | High | Compositing | Buffer overflow |
| CVE-2026-125348 | High | GPU | Out of bounds write |
| CVE-2026-125344 | High | V8 | Type confusion |
| CVE-2026-125349 | Medium | GPU | Uninitialized resource |
| CVE-2026-125342 | Medium | GPU | Uninitialized resource |
Hanya CVE-2026-125350 yang dinyatakan sudah dieksploitasi.
Browser Mana yang Terdampak?
| Browser | Status perbaikan (per 13 November 2026) |
|---|---|
| Google Chrome desktop | Sudah ditambal: 157.0.8103.50/.51 atau lebih baru. Versi Stable terbaru saat ini 157.0.8103.78/.79. |
| Chrome Extended Stable | Sudah ditambal: 156.0.8078.96 atau lebih baru |
| Microsoft Edge (Android) | Sudah ditambal: 157.0.4341.53 |
| Microsoft Edge (desktop) | Catatan rilis keamanan resmi Edge belum mencantumkan versi desktop yang memuat perbaikan ini. Pantau halaman Microsoft Edge Security Updates. |
| Opera, Brave, Vivaldi, dan browser Chromium lain | Tergantung jadwal masing-masing vendor. Segera instal pembaruan begitu tersedia. |
CISA secara eksplisit menyebut celah ini bisa memengaruhi banyak browser berbasis Chromium, “including, but not limited to, Google Chrome, Microsoft Edge, and Opera”.
Cara Memperbarui dan Mengecek Versi Chrome
Lewat menu browser (semua sistem operasi)
- Buka Chrome, ketik
chrome://settings/helpdi address bar, lalu tekan Enter. - Chrome akan otomatis memeriksa dan mengunduh pembaruan.
- Klik Relaunch (Luncurkan Ulang). Penting: patch baru aktif setelah browser di-restart. Banyak orang membiarkan Chrome terbuka berhari-hari sehingga pembaruan yang sudah terunduh tidak pernah aktif.
- Pastikan versi yang tertera 157.0.8103.50 atau lebih tinggi.
Untuk Edge, buka edge://settings/help. Untuk Opera, buka opera://update. Untuk Brave, buka brave://settings/help.
Lewat command line
Linux (Debian/Ubuntu):
google-chrome --version
sudo apt update && sudo apt install --only-upgrade google-chrome-stablemacOS:
"/Applications/Google Chrome.app/Contents/MacOS/Google Chrome" --versionWindows (PowerShell):
(Get-Item "C:\Program Files\Google\Chrome\Application\chrome.exe").VersionInfo.ProductVersionLangkah untuk Admin IT dan Perusahaan
- Inventarisasi semua browser berbasis Chromium di organisasi, bukan hanya Chrome. Edge biasanya terpasang di semua PC Windows.
- Paksa restart browser. Di Chrome yang dikelola terpusat, gunakan kebijakan
RelaunchNotificationdanRelaunchNotificationPeriodagar pengguna diminta, atau dipaksa, me-restart browser dalam jangka waktu tertentu. - Pantau kepatuhan versi lewat Chrome Browser Cloud Management, Intune, atau tool manajemen endpoint lain. Targetkan semua perangkat sudah di versi 157.0.8103.50 ke atas.
- Jangan lupa aplikasi berbasis Chromium/Electron dan perangkat kios. Pantau pengumuman vendor masing-masing apakah komponen Chromium yang mereka pakai terdampak.
- Untuk Edge desktop, pantau halaman Release notes for Microsoft Edge Security Updates dan segera distribusikan pembaruan begitu dirilis.
- Jadikan tenggat CISA (24 November 2026) sebagai patokan maksimal, meski aturan itu hanya wajib untuk instansi federal AS. Untuk celah yang sudah dieksploitasi, makin cepat makin baik.
Tips untuk Pengguna Umum
- Restart browser sekarang juga, lalu cek versinya.
- Aktifkan pembaruan otomatis dan biasakan menutup browser sepenuhnya setidaknya sekali sehari.
- Hindari membuka tautan mencurigakan dari email, SMS, atau pesan instan, terutama sebelum browser diperbarui.
- Jika memakai lebih dari satu browser, perbarui semuanya.
Tenggat KEV Serentak 24 November
CVE-2026-125350 masuk ke katalog KEV dengan tenggat yang sama dengan zero-day Outlook CVE-2026-124194, yaitu 24 November 2026. Bagi tim IT, ini berarti dua pembaruan prioritas, browser dan Office, sebaiknya dijadwalkan bersamaan pada pekan ini.
Kesimpulan
CVE-2026-125350 adalah celah use-after-free berskor 8,8 di komponen XML Chromium yang sudah dipakai penyerang di dunia nyata. Tambalan untuk Chrome sudah tersedia sejak 9 November 2026, tetapi patch baru melindungi setelah browser di-restart. Pengguna Edge desktop dan browser Chromium lainnya perlu memantau pembaruan dari vendor masing-masing. Langkah paling penting hari ini sederhana: buka halaman About browser Anda, perbarui, dan restart.
Sumber
- Google Chrome Releases: Stable Channel Update for Desktop (9 November 2026)
- Google Chrome Releases: Extended Stable Update for Desktop (9 November 2026)
- NVD: CVE-2026-125350
- CISA: Known Exploited Vulnerabilities Catalog
- Microsoft: Release notes for Microsoft Edge Security Updates
- Cyber Security News: CISA Warns of Google Chromium 0-Day Vulnerability Actively Exploited in Attacks