4 min

Nová chyba v nejoblíbenějším prohlížeči je děsivá. Dostane se ke kameře i mikrofonu, aby vás sledovala

Sdílet

Dennívýzva

Google opravil v Chromu slabinu s hodnocením 8,8 z 10, která přes škodlivé rozšíření otevírala cestu ke kameře, mikrofonu i souborům.

Počítač, Google

Zdroj: Unsplash

Obsah článku

Dne 6. ledna 2026 Google potichu vydal aktualizaci desktopového Chromu na verzi 143.0.7499.192. V changelogu jedna položka: CVE-2026-0628, označená jako „High“. Za tím suchým kódem se skrývá jeden z nejnepříjemnějších scénářů, jaký si uživatel prohlížeče dokáže představit: škodlivé rozšíření, které si přes chybu v novém AI panelu Gemini sáhne na oprávnění, o nichž jeho autor mohl jen snít. Kamera. Mikrofon. Screenshoty otevřených stránek. Lokální soubory. A to vše bez jediného dalšího dialogového okna s žádostí o souhlas.

Jak útok fungoval krok za krokem

Klíčem k pochopení je rozlišit dvě věci: běžné rozšíření prohlížeče a privilegovaný panel Gemini in Chrome. Rozšíření z Chrome Web Storu operují v rámci oprávnění, která jim uživatel při instalaci odsouhlasí, typicky přístup k určitým webům nebo síťovým požadavkům. Panel Gemini je něco jiného. Jde o komponentu zapečenou přímo do prohlížeče, která má přístup ke kameře a mikrofonu (kvůli režimu Gemini Live), dokáže pořizovat screenshoty HTTPS tabů, číst lokální soubory a provádět vícekrokové akce napříč otevřenými taby.

Výzkumníci z Unit 42 (Palo Alto Networks) popsali řetězec útoku takto: útočník vytvoří zdánlivě neškodné rozšíření, které využívá legitimní API „declarativeNetRequest“, nástroj běžně sloužící k blokování reklam nebo úpravě síťových požadavků. Jenže místo blokování reklam rozšíření zasáhne do načítání stránky „gemini.google.com/app“ uvnitř privilegovaného panelu. Injektuje vlastní skript, který pak běží s oprávněními Gemini, nikoli s oprávněními rozšíření. Výsledek? Útočník mohl:

zapnout kameru a mikrofon bez dalšího souhlasu uživatele,
pořizovat screenshoty libovolných HTTPS tabů,
číst lokální soubory a adresáře,
přetvořit důvěryhodně vypadající panel Gemini do phishingového rozhraní.

Uživatel přitom nemusel udělat nic víc než kliknout na tlačítko Gemini v liště prohlížeče.

Proč je to horší než „obyčejný“ malware v rozšíření

Škodlivá rozšíření existují roky. Jenže běžně škodí v rámci vlastních oprávnění: krádež cookies, přesměrování vyhledávání, injekce reklam. Tady šlo o eskalaci do úplně jiné kategorie. Rozšíření s relativně základním oprávněním si přes chybu v bezpečnostním modelu Chromu sáhlo na schopnosti interní komponenty, kam se dostat nemělo.

Podle nás je právě tohle nejznepokojivější aspekt celého incidentu. Problém nevznikl ve „starém Chromu“. Vznikl v nové AI vrstvě, kterou Google do prohlížeče přidal, aby Gemini mohl zvládat komplexní úlohy: pracovat s více taby, sdílet obsah stránek, reagovat hlasem. Vysoká oprávnění panelu byla vedlejším efektem těchto agentických funkcí. A právě ta vytvořila most, po kterém se škodlivý kód dostal tam, kam by se jinak nikdy nedostal.

Není to jen problém Chromu. Microsoft u svého Copilot Actions v Edge výslovně varuje před prompt injection, nechtěnými akcemi, přístupem ke screenshotům, cookies i otevřeným tabům. Bezpečnostní firma SquareX navíc demonstrovala útok „AI Sidebar Spoofing“ i na Edge, Brave a Firefoxu. AI sidebary jako kategorie rozšiřují útočnou plochu prohlížečů a bezpečnostní modely na to zatím nestačí.

Kdo byl reálně ohrožen a co to znamená pro Česko

Než se rozšíří panika: k úspěšnému útoku musel být splněn celý řetězec podmínek najednou. Neaktualizovaný Chrome starší než verze 143.0.7499.192. Nainstalované škodlivé rozšíření. A dostupný panel Gemini in Chrome.

Poslední bod je pro české uživatele podstatný. Google při spuštění Gemini in Chrome v září 2025 uváděl, že funkce cílí na uživatele v USA na Macu a Windows, a v nápovědě opakovaně upozorňoval, že nemusí být dostupná v každé zemi či teritoriu. Pokud český uživatel neměl panel Gemini aktivní, řetězec útoku se nemohl uzavřít.

To ale neznamená nulové riziko. Kdo měl přístup k panelu Gemini, ať už přes VPN, firemní účet Google Workspace nebo po pozdějším rozšíření dostupnosti, a zároveň si nainstaloval podezřelé rozšíření, byl zranitelný stejně jako kdokoli v USA.

Ve veřejně dohledatelných záznamech NVD ani v oficiálním advisory jsme nenašli potvrzení o aktivním zneužívání v reálných útocích. To ale neznamená, že k němu nedošlo, jen že nebylo veřejně zdokumentováno. Okno mezi nahlášením chyby výzkumníky (23. října 2025) a vydáním opravy (6. ledna 2026) trvalo zhruba deset týdnů.

Co udělat teď: aktualizace a kontrola

Nejdůležitější krok je triviální. Otevřít Chrome, kliknout na tři tečky vpravo nahoře, zvolit Nápověda → O aplikaci Google Chrome. Prohlížeč automaticky zkontroluje verzi a nabídne aktualizaci. Po instalaci kliknout na Restartovat. Cílová verze pro desktop: 143.0.7499.192 nebo vyšší. Pro ChromeOS LTS vyšla oprava 16. ledna 2026 ve verzi 138.0.7204.302.

Kromě aktualizace stojí za to projít nainstalovaná rozšíření:

Odinstalovat vše, co nepoznáváte nebo aktivně nepoužíváte.
Omezit přístup rozšíření na konkrétní weby místo výchozího „na všech webech“, v nastavení rozšíření zvolte možnost „na kliknutí“.
Dávat pozor na oprávnění při instalaci: pokud rozšíření žádá „přístup ke všem datům na počítači a navštívených webech“, může to podle Googlu znamenat přístup prakticky ke všemu včetně kamery a osobních souborů.
Zkontrolovat oprávnění kamery a mikrofonu v Nastavení → Soukromí a zabezpečení → Nastavení webu → Kamera / Mikrofon.

Na Macu navíc sledujte indikátor nahrávání v Kontrolním centru, na Windows ikonu mikrofonu na hlavním panelu a seznam aplikací, které s kamerou nebo mikrofonem interagovaly.

Bezpečnostní dluh AI funkcí teprve narůstá

CVE-2026-0628 je opravená. Chrome je po aktualizaci bezpečný. Ale vzorec, který chyba odhalila, nikam nezmizel: prohlížeče dostávají stále mocnější AI komponenty s širokými oprávněními a hranice mezi tím, co smí rozšíření a co smí jádro prohlížeče, se s každou novou funkcí agenta tenčí. Příští chyba nemusí potřebovat deset týdnů na opravu. Může potřebovat deset minut na zneužití.

Zdroj: Mobify.cz - Váš párťák ve světě elektroniky

Autor: Oliver Cerman

Reklama

Další články z Mobify.cz

Tento článek byl publikován ze zdrojů Mobify.cz

Web se zaměřuje na mobilní telefony, chytré technologie a moderní aplikace. Čtenáři zde najdou recenze nových modelů, srovnání zařízení, tipy na užitečné aplikace i praktické rady, jak z telefonu dostat maximum. Obsah sleduje také trendy v oblasti elektroniky, softwaru a digitálních služeb – od...

Nová chyba v nejoblíbenějším prohlížeči je děsivá. Dostane se ke kameře i mikrofonu, aby vás sledovala

Možná ho užíváte také. Vědci nyní zkoumají zvláštní spojení oblíbeného vitaminu a rakoviny

Na Slovensku nefunguje nic, rozjela se opora. A vulgárně vylíčila, co fanoušci nevidí

Nela Slováková na odvážných fotkách s propíchnutými bradavkami: Vyléčila jsi mě z homosexuality, píší lidé

Pavel Mang z Cirkusu Humberto tajil minulost před manželkou, dnes vládne v malé obci

Podivná sbírka na letenku pro prezidenta Pavla. Zůnův resort reagoval