Google a expus din greșeală detaliile unei vulnerabilități Chromium încă nerezolvate. De ce problema poate afecta Chrome, Edge, Brave și Opera

Google se află în centrul unei situații stânjenitoare de securitate, după ce detalii despre o vulnerabilitate încă nerezolvată din Chromium au devenit publice din greșeală. Problema este cu atât mai serioasă cu cât Chromium stă la baza unora dintre cele mai folosite browsere din lume, inclusiv Google Chrome, Microsoft Edge, Brave, Opera, Vivaldi și Arc.

Vulnerabilitatea permite, în anumite condiții, ca JavaScript să continue să ruleze în fundal chiar și după ce utilizatorul închide browserul. Cu alte cuvinte, simpla vizitare a unei pagini malițioase ar putea fi suficientă pentru ca browserul să rămână conectat la o infrastructură controlată de atacatori, fără ca victima să observe imediat ceva suspect, potrivit informațiilor publicate de BleepingComputer și Ars Technica.

Cum funcționează problema din Chromium

Bugul a fost raportat inițial în decembrie 2022 de cercetătoarea în securitate Lyra Rebane și a fost recunoscut ca valid în Chromium Issue Tracker. Exploatarea se bazează pe folosirea abuzivă a unui Service Worker, adică un mecanism legitim prin care site-urile pot rula anumite sarcini în fundal, de exemplu pentru notificări, sincronizări sau descărcări.

În scenariul descris de cercetătoare, un site malițios putea declanșa o sarcină care nu se mai încheia corespunzător. Astfel, JavaScript continua să ruleze chiar și după închiderea browserului. În cazul Microsoft Edge, situația ar fi fost și mai greu de observat, deoarece în versiunile recente nu mai apărea nici fereastra de descărcare care, anterior, putea da utilizatorului un indiciu că se întâmplă ceva în fundal.

Vezi și:

Obiceiul de 5 minute care îți poate aduce mii de euro în plus la pensie. Metoda funcționează și pentru cei cu venituri mici

Riscurile nu sunt deloc teoretice. O asemenea vulnerabilitate ar putea permite folosirea browserelor compromise pentru atacuri de tip DDoS, redirecționări către site-uri alese de atacatori sau proxy pentru trafic malițios. Totuși, cercetătoarea a precizat că problema nu sparge granițele de securitate ale browserului și nu oferă acces direct la e-mailuri, fișiere personale sau sistemul de operare al victimei.

De ce expunerea accidentală crește riscul pentru utilizatori

Partea cea mai sensibilă a cazului este modul în care informațiile au ajuns publice. Problema a fost marcată ca rezolvată în februarie 2026, iar cercetătoarea a primit chiar și o recompensă de 1.000 de dolari prin programul Google Vulnerability Rewards. Ulterior, pentru că bugul figura în sistem drept închis de mai multe săptămâni, restricțiile de acces din Chromium Issue Tracker au fost eliminate automat pe 20 mai.

În aceeași zi, Lyra Rebane a testat presupusul remediu și a constatat că vulnerabilitatea încă putea fi exploatată în Chrome Dev 150 și Edge 148. După descoperire, issue-ul a fost făcut din nou privat, însă intervalul în care detaliile au fost vizibile a fost suficient pentru ca informațiile să circule mai departe. Ars Technica notează că expunerea ar putea face exploatarea mai ușoară pentru persoane cu intenții rele, chiar dacă transformarea problemei într-un botnet de amploare ar fi mai complicată.

Pentru utilizatori, concluzia practică este simplă: actualizările browserului devin esențiale în perioada următoare. Google va fi, cel mai probabil, presată să trateze cazul ca pe o urgență, mai ales pentru că vulnerabilitatea afectează întregul ecosistem Chromium, nu doar Chrome. Microsoft Edge, Brave, Opera, Vivaldi și Arc depind de aceeași bază tehnică, iar un patch în Chromium trebuie apoi preluat și livrat prin actualizările fiecărui browser.

Până la apariția unui remediu clar, cel mai prudent comportament rămâne evitarea site-urilor necunoscute, actualizarea imediată a browserului atunci când apare o versiune nouă și închiderea completă a proceselor suspecte din sistem, dacă observi consum neobișnuit de resurse. Cazul arată încă o dată cât de fragilă poate deveni securitatea online atunci când o vulnerabilitate veche, marcată greșit ca rezolvată, ajunge să fie documentată public înainte ca protecția reală să fie disponibilă pentru toți utilizatorii.