Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) εξέδωσε επείγουσα ειδοποίηση σχετικά με μια ευπάθεια zero-day στο Google Chrome, την οποία εκμεταλλεύονται ενεργά παράγοντες απειλών.
Το CVE-2025-13223 είναι ένα ελάττωμα στη μηχανή JavaScript Chromium V8 που ενέχει σημαντικούς κινδύνους για τους χρήστες παγκοσμίως, επιτρέποντας ενδεχομένως την απομακρυσμένη εκτέλεση κώδικα και παραβιάσεις δεδομένων.
Η ευπάθεια προέρχεται από ένα σφάλμα σύγχυσης τύπου, ταξινομημένο στο CWE-843, το οποίο εξαπατά το πρόγραμμα περιήγησης σε λάθος χειρισμό τύπων δεδομένων και καταστρέφει τη μνήμη του σωρού. Ανακαλύφθηκε και διορθώθηκε από την Google στις 19 Νοεμβρίου 2025, μέσω της σταθερής ενημέρωσης καναλιού της, το ζήτημα επηρεάζει τις εκδόσεις του Chrome πριν από την 131.0.6778.72.
Οι επιτιθέμενοι το έχουν ήδη αξιοποιήσει στην άγρια φύση, αν και οι λεπτομέρειες για συγκεκριμένες καμπάνιες παραμένουν περιορισμένες. Η CISA το πρόσθεσε στον κατάλογο Γνωστών Εκμεταλλευόμενων Ευπαθειών (KEV) την ίδια ημέρα, υποχρεώνοντας τις ομοσπονδιακές υπηρεσίες να εφαρμόσουν μέτρα μετριασμού έως τις 10 Δεκεμβρίου 2025.
Ανάλυση ευπάθειας και επηρεαζόμενα συστήματα
Αυτό το zero-day στοχεύει τον πυρήνα της μηχανής απόδοσης του Chrome, καθιστώντας τον έναν πρωταρχικό φορέα για λήψεις χωρίς καθυστέρηση και κακόβουλες αλληλεπιδράσεις σε ιστότοπους.
Αν και επηρεάζει κυρίως τους χρήστες επιτραπέζιων υπολογιστών σε Windows, macOS και Linux, το ελάττωμα επεκτείνεται και σε προγράμματα περιήγησης που βασίζονται σε Chromium, όπως το Microsoft Edge και το Brave.
| Αναγνωριστικό CVE | Προϊόντα που επηρεάζονται | Σύγκρουση | Προαπαιτούμενα Exploit | Βαθμολογία CVSS |
|---|---|---|---|---|
| CVE-2025-13223 | Google Chrome (εκδόσεις | Καταστροφή σωρού που οδηγεί σε απομακρυσμένη εκτέλεση κώδικα | Επίσκεψη κακόβουλων ιστοσελίδων. δεν απαιτείται αλληλεπίδραση χρήστη πέρα από την απόδοση | 8,8 (Υψηλό) |
Δεν υπάρχουν ακόμη επιβεβαιωμένες σχέσεις με ransomware, αλλά οι ειδικοί προειδοποιούν για πιθανή κλιμάκωση σε επιθέσεις phishing και εφοδιαστικής αλυσίδας.
Η CISA προτρέπει άμεσες ενημερώσεις στην πιο πρόσφατη έκδοση του Chrome, που είναι διαθέσιμη μέσω των σημειώσεων έκδοσης της Google. Σε περιβάλλοντα cloud, οι εταιρείες πρέπει να ευθυγραμμίζονται με την δεσμευτική επιχειρησιακή οδηγία 22-01 και να δίνουν έμφαση στις αρχές μηδενικής εμπιστοσύνης. Εάν τα έμπλαστρα δεν είναι εφικτά, συνιστάται η διακοπή του προϊόντος για τον περιορισμό των κινδύνων.
Αυτό το περιστατικό υπογραμμίζει τον αδυσώπητο ρυθμό των απειλών του προγράμματος περιήγησης, ειδικά στη σύνθετη βάση κωδικών του V8. Με περισσότερους από 3 δισεκατομμύρια χρήστες, η κυριαρχία του Chrome ενισχύει τα στοιχήματα, καθώς τα μη επιδιορθωμένα συστήματα θα μπορούσαν να τροφοδοτήσουν εκτεταμένους συμβιβασμούς.
Οι ερευνητές ασφαλείας υπογραμμίζουν την ανάγκη για προσεκτική παρακολούθηση, καθώς τέτοιες μέρες μηδέν συχνά προηγούνται μεγαλύτερων εκστρατειών.
Καθώς η εκμετάλλευση συνεχίζεται, οι οργανισμοί θα πρέπει να σαρώνουν τα δίκτυα για δείκτες συμβιβασμού και να εκπαιδεύουν τους χρήστες σχετικά με την ασφαλή περιήγηση. Η ταχεία απόκριση της Google μετριάζει μεγάλο μέρος του κινδύνου, αλλά η προληπτική ενημέρωση κώδικα παραμένει το κλειδί για να παραμείνετε μπροστά από τους αντιπάλους.
