Chrome 157 Tambal Zero-Day yang Sudah Dieksploitasi

Kalau Chrome di laptopmu belum menunjukkan versi 157.0.8103.50 atau lebih baru, segera perbarui. Google menambal celah CVE-2026-125350 di komponen XML Chrome, dan menurut catatan rilis resminya, eksploit untuk celah ini sudah ada di dunia nyata.

Kenapa ini penting? Celah yang sudah dieksploitasi sebelum banyak orang sempat memperbarui adalah definisi zero-day. Penyerang tidak perlu menunggu siapa pun membuat alat serang, karena alatnya sudah ada. Yang dibutuhkan hanya korban yang membuka halaman web berbahaya dengan browser versi lama.

Apa yang diumumkan Google?

Pada 9 November 2026, tim Chrome menerbitkan pembaruan kanal Stable untuk desktop. Versinya 157.0.8103.50/.51 untuk Windows dan Mac, serta 157.0.8103.50 untuk Linux. Seperti biasa, Google menyebut pembaruan akan sampai ke pengguna secara bertahap dalam beberapa hari sampai minggu.

Pembaruan ini memuat sembilan perbaikan keamanan. Tujuh berstatus High dan dua Medium. Di antaranya ada satu kalimat yang membuat rilis ini berbeda dari pembaruan rutin: "Google is aware that an exploit for CVE-2026-125350 exists in the wild." Artinya, Google tahu eksploit untuk celah itu sudah beredar.

Sehari kemudian, 10 November 2026, CISA (lembaga keamanan siber Amerika Serikat) menambahkan CVE-2026-125350 ke katalog Known Exploited Vulnerabilities (KEV). Instansi federal AS diberi tenggat sampai 24 November 2026 untuk menambalnya. Bagi bisnis di luar AS, katalog ini tetap jadi sinyal prioritas yang berguna, seperti dibahas di cara memakai katalog KEV CISA untuk prioritas patch.

Seperti apa celah CVE-2026-125350?

Google mengelompokkannya sebagai use after free di komponen XML dengan tingkat High. Celah ini dilaporkan oleh peneliti anonim pada 6 November 2026, lalu ditambal tiga hari kemudian.

Use after free adalah bug memori. Program masih memakai bagian memori yang seharusnya sudah dilepas, dan kondisi ini bisa dimanfaatkan untuk menjalankan kode. Deskripsi CISA menyebut celah ini memungkinkan penyerang jarak jauh menjalankan kode di dalam sandbox lewat halaman web yang dibuat khusus.

Ada dua hal yang perlu dicatat:

• Masih di dalam sandbox. Kode berjalan di lingkungan terbatas milik Chrome. Itu mengurangi dampak, tetapi penyerang sering merangkai celah lain untuk keluar dari sandbox. Jangan anggap ini aman.
• Detail teknis dibatasi. Google biasanya menahan detail bug sampai sebagian besar pengguna sudah memperbarui. Per 11 November 2026, siapa penyerangnya dan siapa sasarannya belum diumumkan.

CISA juga menegaskan celah ini bisa memengaruhi browser lain berbasis Chromium, seperti Microsoft Edge dan Opera.

Sembilan celah yang ditambal

Berikut daftar lengkap dari catatan rilis resmi Chrome 157.0.8103.50:

Pengguna kanal Extended Stable juga mendapat tambalan. Versi 156.0.8078.96 untuk Windows dan Mac, yang dirilis di hari yang sama, ikut memuat perbaikan CVE-2026-125350.

Bagaimana cara cek versi Chrome?

Cara paling mudah sama untuk semua sistem: buka menu titik tiga, pilih Bantuan, lalu Tentang Google Chrome. Bisa juga dengan mengetik chrome://settings/help di bilah alamat. Chrome akan mengecek pembaruan, mengunduhnya, lalu meminta kamu menekan Luncurkan Ulang.

Langkah terakhir itu sering terlewat. Pembaruan baru berlaku setelah browser benar-benar ditutup dan dibuka lagi. Banyak orang membiarkan Chrome terbuka berhari-hari dengan puluhan tab, sehingga versi lama terus berjalan walaupun file barunya sudah terunduh.

Di Linux, kamu bisa mengecek lewat terminal:

google-chrome --version

Hasilnya harus Google Chrome 157.0.8103.50 atau lebih baru. Bila Chrome dipasang dari repositori resmi Google, pembaruan ikut lewat manajer paket (sudo apt update && sudo apt upgrade di Debian/Ubuntu, atau sudo dnf upgrade google-chrome-stable di Fedora/RHEL).

Untuk Android, Google merilis Chrome 157.0.8103.50 pada 9 November 2026 dan menyatakan rilis Android memuat perbaikan keamanan yang sama dengan versi desktop. Perbarui lewat Google Play.

Bagaimana dengan Edge, Opera, dan Brave?

Browser berbasis Chromium mengambil kode dari proyek yang sama, tetapi masing-masing vendor merilis pembaruannya sendiri dengan nomor versi berbeda. Per 11 November 2026, cek halaman catatan rilis keamanan vendor browser yang kamu pakai dan pastikan rilis terbarunya menyebut CVE-2026-125350. Cara cepatnya sama: buka halaman "Tentang" di menu browser, biarkan browser mengecek pembaruan, lalu mulai ulang.

Langkah untuk kantor dan tim IT

Untuk satu laptop, pembaruan cukup beberapa menit. Di kantor dengan puluhan perangkat, masalahnya adalah memastikan semuanya benar-benar sudah di versi baru.

• Cek dari pusat. Bila perangkat dikelola dengan Chrome Enterprise, Google Admin, Intune, atau alat MDM lain, tarik laporan versi browser dan cari yang masih di bawah 157.0.8103.50.
• Paksa mulai ulang. Kebijakan Chrome Enterprise menyediakan pengaturan yang meminta atau mewajibkan peluncuran ulang setelah pembaruan. Pakai ini untuk celah yang sudah dieksploitasi.
• Ingatkan pengguna. Pesan singkat di grup kantor ("tutup semua jendela Chrome lalu buka lagi") sering lebih cepat daripada menunggu kebijakan berlaku.
• Tinjau ekstensi. Browser yang sudah diperbarui tetap bisa dibobol lewat ekstensi bermasalah. Panduannya ada di cara mengaudit ekstensi browser berbahaya di kantor.

Kenapa harus secepat ini dibanding pembaruan rutin? Jawabannya ada di penjelasan tentang zero-day dan kenapa patch harus cepat. Selisih waktu antara tambalan terbit dan perangkat benar-benar diperbarui adalah jendela yang paling dicari penyerang.

Siapa yang paling berisiko?

Semua pengguna Chrome versi lama berisiko, karena pemicunya cukup membuka halaman web. Yang perlu lebih waspada adalah orang yang sering membuka tautan dari luar, misalnya tim keuangan yang menerima tagihan lewat email, admin media sosial, atau staf layanan pelanggan. Akun dengan akses penting, seperti panel admin website, internet banking bisnis, atau dasbor server, juga lebih menarik bagi penyerang.

Pembaruan browser tidak mengganti kebiasaan aman lain: hati-hati dengan tautan yang tidak dikenal, aktifkan verifikasi dua langkah, dan jangan memakai akun admin untuk browsing sehari-hari.