Google Tambal Zero-Day Chrome Kedelapan 2026, Celah XML CVE-2026-125350 Sudah Dieksploitasi

Pembaruan Chrome sering terasa seperti notifikasi yang bisa ditunda sampai besok. Untuk celah yang eksploitnya sudah beredar di dunia nyata, "besok" adalah waktu yang cukup bagi penyerang.

Google merilis pembaruan keamanan Chrome pada Senin (9/11/2026) yang menutup sembilan kerentanan, termasuk satu celah zero-day yang sudah dieksploitasi: CVE-2026-125350. Menurut The Hacker News, ini zero-day Chrome kedelapan yang diketahui dieksploitasi aktif sepanjang 2026.

Celah use-after-free di komponen XML

CVE-2026-125350 berstatus severitas tinggi dan merupakan celah use-after-free di komponen XML Chrome. Celah jenis ini terjadi saat program memakai memori yang sudah dilepaskan, sehingga penyerang berpotensi memanipulasinya untuk menjalankan kode. Skor CVSS belum dicantumkan dalam sumber yang kami baca.

Peneliti anonim dikreditkan atas temuan ini, dengan laporan masuk pada 6 November 2026. Itu berarti jarak antara laporan dan rilis perbaikan hanya tiga hari.

Dalam catatan rilisnya, Google menyatakan "aware that an exploit for CVE-2026-125350 exists in the wild". Google juga menulis bahwa "Access to bug details and links may be kept restricted until a majority of users are updated with a fix." Artinya, rincian teknis kemungkinan baru dibuka setelah sebagian besar pengguna memperbarui.

Versi yang harus dituju

Perbaikan tersedia di Chrome 157.0.8103.50 dan 157.0.8103.51 untuk Windows dan macOS, serta 157.0.8103.50 untuk Linux. Cara paling cepat memeriksanya adalah membuka menu bantuan Chrome dan memilih tentang Google Chrome, lalu menyalakan ulang peramban setelah pembaruan terunduh. Pembaruan yang sudah terunduh tapi belum diterapkan tidak melindungi pengguna.

Peramban berbasis Chromium lain, seperti Microsoft Edge, Brave, Opera, dan Vivaldi, disarankan menerapkan perbaikan begitu tersedia di masing-masing produk. Jadwal rilisnya berbeda-beda menurut vendor.

Daftar zero-day Chrome 2026

Dengan CVE-2026-125350, delapan zero-day Chrome yang dieksploitasi aktif sepanjang tahun ini tercatat di CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046, CVE-2026-87491, dan CVE-2026-125350. Dari kesembilan celah yang ditambal pekan ini, hanya satu yang diberi rincian di sumber yang kami baca.

Delapan kasus dalam sekitar sepuluh bulan berarti rata-rata lebih dari satu zero-day Chrome per bulan. Angka ini hitungan sederhana dari daftar di atas, bukan klaim dari Google.

Langkah bagi pengguna dan administrator

Bagi pengguna rumahan, pembaruan otomatis Chrome biasanya mengunduh perbaikan sendiri, tetapi perbaikan baru berlaku setelah peramban dimulai ulang. Pengguna yang membiarkan puluhan tab terbuka berhari-hari berisiko tetap menjalankan versi lama.

Administrator TI yang mengelola Chrome di banyak komputer perlu memeriksa bahwa seluruh perangkat sudah mencapai versi 157.0.8103.50 atau lebih baru. Untuk peramban Chromium lain, periksa pengumuman keamanan vendor masing-masing sebelum menganggap perangkat aman. Pembaruan ini juga memuat delapan perbaikan lain yang tidak dirinci Google, jadi menunda pembaruan berarti membiarkan sembilan celah terbuka sekaligus, bukan hanya satu.

Peramban sebagai pintu masuk

Peramban menjadi sasaran yang menarik karena hampir semua perangkat kerja menjalankannya setiap hari dan terhubung langsung ke internet. Google tidak menjelaskan bagaimana celah XML ini dipicu. Untuk gambaran bagaimana celah di perangkat lain bisa digabungkan menjadi serangan penuh, lihat dua celah Barracuda ESG yang bisa dirantai untuk akses root.

Google belum menyebut siapa yang memanfaatkan celah ini, berapa banyak pengguna terdampak, atau seperti apa bentuk serangannya. Yang masih ditunggu adalah rincian teknis CVE-2026-125350 setelah Google merasa mayoritas pengguna sudah diperbarui, termasuk skor CVSS resminya.