Google v září 2026 vydal mimořádnou aktualizaci Chromu, která opravuje kritickou zranitelnost CVE-2026-87491. Jde už o sedmou chybu v Chromu letos, kterou útočníci aktivně zneužívali dřív, než na ni Google stihl vydat záplatu – a pro majitele webů i firmy je to další připomínka, že bezpečnost návštěvníků nezávisí jen na jejich vlastním webu, ale i na tom, jaký prohlížeč používají.
Co přesně chyba umožňuje
CVE-2026-87491 je chyba typu out-of-bounds write v enginu V8, který se v Chromu stará o zpracování JavaScriptu a WebAssembly. Zjednodušeně: prohlížeč při určitých operacích zapisuje data mimo vyhrazenou paměť, což lze zneužít k tomu, aby stránka spustila vlastní kód přímo v sandboxu prohlížeče. Stačí k tomu jediné – přesvědčit uživatele, aby otevřel speciálně upravenou HTML stránku. Žádné kliknutí na přílohu, žádné stažení souboru.
Zranitelnost objevila výzkumnice Jihyeon Jeong z Compsec Lab na Soulské národní univerzitě už začátkem srpna, Google ale potvrdil, že exploit již existuje a je aktivně zneužíván ve světě. Proto šlo o záplatu vydanou v řádu dní, ne týdnů.
Koho se to týká
Chyba se týká Chromu ve verzích starších než 153.0.8010.36. Protože na enginu Chromium stojí i Microsoft Edge, Brave, Opera nebo Vivaldi, dá se čekat, že podobné záplaty postupně vydají i tito výrobci. CISA (americká agentura pro kybernetickou bezpečnost) doporučila firmám opravit zranitelnost nejpozději do 23. září 2026 – u aktivně zneužívaných chyb je to nezvykle krátký, ale odůvodněný termín.
Pro provozovatele webů z toho plyne dvojí ponaučení. Prvně: pokud spravujete firemní počítače nebo doporučujete zaměstnancům konkrétní prohlížeč, ověřte, že se aktualizace nasadila všude, ne jen na několika strojích. Aktualizace Chromu se sice většinou instaluje na pozadí automaticky, ale vyžaduje restart prohlížeče – a ten lidé běžně odkládají týdny.
Druhé ponaučení míří na návštěvníky vašeho webu. I dokonale zabezpečený web nic nezmůže, pokud jeho návštěvník otevře odkaz v neaktualizovaném prohlížeči napadeném přes jinou stránku nebo reklamní síť. Bezpečnost webu dnes není jen o serveru a CMS, ale o celém řetězci od uživatele po hosting.
Sedmá zranitelnost za rok – proč jich přibývá
Fakt, že jde o sedmý zero-day v Chromu za rok 2026, není náhoda. V8 je extrémně komplexní engine, který se neustále mění kvůli výkonu a novým funkcím JavaScriptu, a každá optimalizace paměti s sebou nese riziko podobných chyb. Bezpečnostní komunita zároveň platí čím dál vyšší odměny za nalezené zero-day chyby, což motivuje k jejich aktivnímu hledání – a tím i ke zveřejňování přesně v době, kdy je exploit skutečně použit proti reálným cílům.
Závěr
Aktualizace prohlížeče patří mezi nejlevnější a nejúčinnější bezpečnostní opatření vůbec, přesto na ni firmy i jednotlivci často zapomínají. Pokud se staráte o web nebo firemní IT a nejste si jistí, že máte tuto záplatu nasazenou všude, je čas to ověřit. Potřebujete pomoct s bezpečnostním auditem webu nebo firemních stanic? Ozvěte se nám – rádi to proklepneme za vás.
