Google Rilis Update Chrome: Zero-Day ke-8 pada 2026 Dieksploitasi Aktif

Google merilis pembaruan keamanan Chrome untuk menambal sembilan kerentanan, termasuk CVE-2026-125350 yang sudah dieksploitasi di lapangan. Ini menjadi zero-day kedelapan yang ditangani Google sepanjang 2026.

Pembaruan yang dirilis Senin (9/11/2026) itu menyasar celah high-severity dengan skor CVSS 8.8. Kerentanan tersebut berupa use-after-free pada komponen XML di Google Chrome versi sebelum 157.0.8103.50.

“Use-after-free di XML pada Google Chrome sebelum 157.0.8103.50 memungkinkan penyerang jarak jauh mengeksekusi kode arbitrer di dalam sandbox melalui halaman HTML yang dibuat khusus,” demikian deskripsi celah di CVE.org, seperti dikutip The Hacker News.

Kronologi dan Detail Kerentanan CVE-2026-125350

Kerentanan ini ditemukan dan dilaporkan oleh seorang peneliti keamanan anonim pada 6 November 2026. Google memberikan kredit kepada peneliti tersebut, tetapi tidak mengungkap identitasnya.

Google mengonfirmasi bahwa eksploit untuk CVE-2026-125350 sudah ada di alam liar. “Kami mengetahui bahwa eksploit untuk CVE-2026-125350 ada di alam liar,” kata Google dalam pengumuman resminya, Senin (9/11/2026).

Meski begitu, raksasa teknologi itu tidak membeberkan detail teknis serangan, siapa aktor di baliknya, atau bagaimana eksploitasi dilakukan. Google beralasan, akses ke detail bug dan tautan terkait sengaja dibatasi sampai mayoritas pengguna memperbarui peramban mereka.

“Akses ke detail bug dan tautan dapat dibatasi hingga mayoritas pengguna diperbarui dengan perbaikan. Kami juga akan tetap membatasi jika bug ada di pustaka pihak ketiga yang juga diandalkan proyek lain, tetapi belum diperbaiki,” tambah Google.

Use-after-free sendiri merupakan jenis bug yang terjadi ketika program mencoba mengakses lokasi memori yang sudah dibebaskan. Jika dieksploitasi, celah ini dapat menyebabkan korupsi data, crash program, atau eksekusi kode arbitrer.

Daftar Zero-Day Chrome yang Dieksploitasi Aktif Sepanjang 2026

Dengan tambahan CVE-2026-125350, Google telah menangani delapan zero-day Chrome yang dieksploitasi aktif sejak awal tahun. Berikut daftarnya:

• CVE-2026-2441
• CVE-2026-3909
• CVE-2026-3910
• CVE-2026-5281
• CVE-2026-11645
• CVE-2026-85046
• CVE-2026-87491
• CVE-2026-125350

Angka ini menunjukkan laju eksploitasi zero-day yang tinggi. Sepanjang 2026, Google rata-rata menambal satu zero-day per 1,5 bulan. Sebagai perbandingan, sepanjang 2025 lalu, Google menambal total 12 zero-day Chrome.

Meski demikian, delapan zero-day dalam 10 bulan bukanlah rekor terburuk. Pada 2024, Google mencatat 11 zero-day yang dieksploitasi aktif, sementara 2023 mencapai 8 zero-day.

Pihak yang Terlibat dan Respons CISA

Selain Google, Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) turut merespons cepat. CISA menambahkan CVE-2026-125350 ke katalog Known Exploited Vulnerabilities (KEV).

Dengan masuknya celah ini ke KEV, lembaga federal AS diwajibkan menerapkan patch paling lambat 24 November 2026. Kewajiban ini berlaku untuk semua instansi federal, termasuk yang menggunakan Chrome di lingkungan operasional mereka.

Langkah CISA ini merupakan prosedur standar untuk zero-day yang sudah dieksploitasi. Katalog KEV sendiri dibuat untuk mendorong patching cepat di sektor pemerintahan dan menjadi acuan bagi organisasi lain.

Google sendiri telah merilis pembaruan untuk berbagai platform. Untuk Windows dan Apple macOS, pengguna diminta memperbarui ke versi 157.0.8103.50 atau 157.0.8103.51. Sementara untuk Linux, versi 157.0.8103.50.

Pengguna Chromium-based lain seperti Microsoft Edge, Brave, Opera, dan Vivaldi juga disarankan segera menerapkan perbaikan begitu tersedia. Pasalnya, browser-browser tersebut menggunakan mesin Chromium yang sama.

Dampak dan Cara Memperbarui Chrome

Dampak dari kerentanan ini cukup serius. Penyerang dapat mengeksekusi kode arbitrer di dalam sandbox Chrome hanya dengan menggiring korban mengunjungi halaman HTML berbahaya.

Artinya, korban tidak perlu mengunduh file atau menginstal aplikasi. Cukup membuka situs yang sudah disisipi eksploit, kode berbahaya bisa berjalan.

Untuk memperbarui Chrome, pengguna dapat membuka menu More > Help > About Google Chrome, lalu memilih Relaunch. Pembaruan akan terpasang otomatis setelah peramban dimulai ulang.

Google juga menyarankan pengguna mengaktifkan pembaruan otomatis. Dengan begitu, patch keamanan bisa langsung diterapkan tanpa menunggu tindakan manual.

Bagi organisasi, penting untuk memeriksa versi Chrome di seluruh perangkat karyawan. Keterlambatan pembaruan dapat membuka celah bagi serangan yang menargetkan data sensitif.

Latar Belakang Meningkatnya Serangan Zero-Day

Zero-day menjadi ancaman yang semakin mahal. Sebab, kerentanan jenis ini belum diketahui vendor, sehingga belum ada patch saat pertama kali dieksploitasi.

Chrome menjadi target populer karena pangsa pasarnya yang besar. Berdasarkan data StatCounter, Chrome menguasai sekitar 65% pasar peramban global per Oktober 2026.

Pelaku serangan biasanya memanfaatkan zero-day untuk kampanye spionase siber, pencurian data, atau penyebaran malware. Namun, Google tidak menyebutkan motif di balik eksploitasi CVE-2026-125350.

Yang jelas, laju penemuan zero-day tidak melambat. Sepanjang 2026, sudah ada delapan celah yang dieksploitasi aktif. Angka ini bisa bertambah sebelum tahun berakhir.

Pengguna diminta tidak menunda pembaruan. Sebab, eksploit untuk CVE-2026-125350 sudah tersedia di alam liar, dan siapa pun yang belum menambal sistemnya berisiko menjadi korban.

Analisis Redaksi: Pola Zero-Day yang Tak Kunjung Reda

Delapan zero-day dalam 10 bulan bukan angka yang bisa diabaikan. Google memang bergerak cepat merilis patch, tetapi laju penemuan celah baru menunjukkan bahwa permukaan serangan Chrome masih lebar.

Yang menarik, Google memilih tidak mengungkap detail eksploitasi CVE-2026-125350. Alasannya klasik: melindungi pengguna yang belum memperbarui. Namun, kebijakan ini juga membuat organisasi sulit menilai tingkat risiko secara tepat.

Di sisi lain, langkah CISA memasukkan celah ini ke KEV dalam hitungan hari patut diapresiasi. Kewajiban patch hingga 24 November 2026 memberi tenggat jelas bagi instansi federal. Sayangnya, kewajiban serupa tidak berlaku bagi sektor swasta.

Pelajaran yang bisa diambil: pembaruan otomatis bukan lagi fitur opsional. Organisasi yang mengandalkan Chrome untuk operasional harian perlu memastikan mekanisme patching berjalan tanpa hambatan birokrasi.

Yang juga perlu dicermati, eksploitasi zero-day kerap menyasar pengguna akhir melalui halaman web. Artinya, kesadaran pengguna untuk tidak sembarangan membuka tautan tetap menjadi lapisan pertahanan pertama.

Sumber: cve.org