Ihned aktualizujte Google Chrome, jinak riskujete více než jindy. Nezvaní hosté umí spustit škodlivý kód, aniž si všimnete

Google vydal Chrome 148 s více než 120 chybami. Mezi nimi je jedna kritická, která umožňuje přes webové spuštění aktivovat nový škodlivý kód.

Zdroj fotografie: Unsplash

Číslo samo o sobě je alarmující, podle PCWorldu jde o více než dvojnásobný počet oprav oproti předchozí verzi. Jenže skutečný problém není jen v množství záplat. Je v tom, co se děje mezi okamžikem, kdy Google opravu zveřejní, a okamžikem, kdy ji uživatel skutečně začne používat po restartu prohlížeče. Tomuto oknu se říká patch gap. Jakmile je oprava viditelná v otevřeném zdrojovém kódu Chromia, útočníci mohou změny reverzně analyzovat, pochopit, kde přesně chyba byla, a připravit exploit dřív, než většina lidí Chrome zavře a znovu otevře. Nezvaní hosté nejsou hackeři, kteří se vám dostávají přímo do počítače. Jsou to provozovatelé škodlivých nebo kompromitovaných webových stránek. Stačí, abyste na takovou stránku klikli z reklamy, e-mailu nebo výsledku vyhledávání. Speciálně připravený HTML kód pak zneužije chybu v jádru prohlížeče a spustí škodlivý kód uvnitř procesu Chrome. Bez instalace, bez varování, bez viditelného náznaku.

Kritická chyba v srdci

Nejzávažnější opravená zranitelnost nese označení CVE-2026-7896 a týká se Blinku, vykreslovacího jádra Chrome. Jde o takzvaný integer overflow, tedy přetečení celočíselné hodnoty při výpočtu velikosti nebo délky dat. Následkem může být chybná alokace paměti a potenciální poškození haldy, které může útočník za určitých podmínek zneužít ke spuštění vlastního kódu.

Prakticky to může vypadat takto: navštívíte stránku s upraveným HTML. Blink ji začne vykreslovat, narazí na záměrně deformovaný prvek, přeteče mu interní proměnná a útočník může získat kontrolu nad částí paměti prohlížeče. Google za nahlášení této chyby vyplatil externímu výzkumníkovi odměnu 43 000 dolarů (v přepočtu přes milion korun). Částka odpovídá závažnosti chyby v jednom z klíčových komponentů nejpoužívanějšího prohlížeče na světě.

Vedle Blinku opravil Google i vysoce závažnou chybu ve V8, JavaScriptovém enginu Chrome. Ta umožňovala čtení a zápis mimo vyhrazený paměťový prostor. Důležitá poznámka: chyba ve V8 je v oficiálním poradci klasifikovaná jako „high“, nikoli „critical“, ačkoli ji některá média řadí mezi kritické. Obě chyby ale spojuje jedno: ke zneužití může stačit návštěva speciálně připravené webové stránky.

Tentokrát se opravdu nevyplatí čekat

Chrome se na Windows a macOS aktualizuje automaticky na pozadí. Jenže to nestačí. Aktualizace se plně projeví až po restartu prohlížeče. Pokud máte Chrome otevřený dny nebo týdny v kuse (a ruku na srdce, kdo z nás ho pravidelně zavírá), běžíte na starém, zranitelném kódu.

Ruční kontrola zabere deset sekund:

• Klikněte na tři tečky v pravém horním rohu
• Vyberte Nápověda → O aplikaci Google Chrome
• Prohlížeč sám zkontroluje aktualizaci a zobrazí číslo verze

Pro tuto konkrétní vlnu oprav potřebujete minimálně verzi 148.0.7778.96 na Linuxu nebo 148.0.7778.96/97 na Windows a macOS. Na Linuxu Google odkazuje na správce balíčků příslušné distribuce.

Důležité je vědět, že „Chrome 148“ není jedna statická verze. Už 27. května 2026 přišel další bezpečnostní build se 151 opravami a 2. června následoval Chrome 149 se 429 opravami. Rozhodující není hlavní číslo verze, ale celé číslo buildu. Pokud jste na 148.0.7778.215 nebo novější, květnovou vlnu máte pokrytou.

Mobil, Edge a Firefox: nikdo není imunní

Na Androidu Chrome přebírá stejné bezpečnostní opravy jako desktopová verze, takže aktualizace z Google Play je stejně důležitá. Na iPhonech je situace jiná: Chrome tam používá vykreslovací jádro WebKit od Applu a bezpečnost vykreslování závisí primárně na aktualizacích iOS.

Microsoft Edge stojí na stejném základu Chromium jako Chrome. Květnové buildy Edge 2026 uvádějí, že obsahují nejnovější bezpečnostní opravy projektu Chromium. Kdo používá Edge a myslí si, že se ho chyby v Chromiu netýkají, mýlí se.

Firefox? Ten má vlastní engine Gecko, ale jeho bezpečnostní poradce ze 7. května 2026 obsahuje stejné třídy problémů: use-after-free, integer overflow, sandbox escape a chyby v bezpečnosti paměti s možností spuštění libovolného kódu. Zranitelnosti v prohlížečích nejsou specialitou Chrome. Jsou daní za software, který neustále zpracovává nedůvěryhodný obsah z celého internetu.

Jaro 2026 vypadá jinak

Google v červenci 2026 na svém bezpečnostním blogu napsal, že prudký nárůst počtu opravených chyb neznamená, že by Chrome byl horší než dřív. Naopak, firma dramaticky zrychlila hledání chyb pomocí nástrojů umělé inteligence a zvažuje přechod na dvě bezpečnostní vydání týdně. Cílem je právě zkrátit patch gap, tedy dobu, po kterou jsou uživatelé vystaveni známým, ale ještě neopraveným zranitelnostem.

Zároveň Google vysvětluje, proč technické detaily o chybách dočasně zadržuje: dokud není aktualizována většina uživatelů a dokud nejsou opraveny i poslední závislosti třetích stran, podrobnosti nezveřejňuje. Opravené bezpečnostní chyby se v issue trackeru Chromia automaticky zveřejňují po 14 týdnech.

Ve veřejném poradci z 5. května Google neuvádí, že by některá z opravených chyb byla aktivně zneužívána v reálných útocích. To ale neznamená, že můžete zůstat v klidu. Znamená to, že máte ještě čas jednat dřív, než se z opravených chyb stane hotový exploit v rukou útočníků. Zavřete Chrome, otevřete ho znovu a ujistěte se, že máte aktuální číslo verze. Deset sekund, které stojí za to.