CERT-In Peringatkan Pengguna Chrome saat Google Memperbaiki 37 Celah Keamanan, Termasuk Tujuh Celah Kritis

Pengguna Komputer Desktop Diminta Memasang Perbaikan Keamanan Chrome

Tim Tanggap Darurat Komputer India, CERT-In, mengeluarkan peringatan pada 14 Oktober 2026 terkait kerentanan di Google Chrome yang dapat memungkinkan penyerang menjalankan kode berbahaya, memperoleh informasi sensitif, atau mengganggu komputer yang terdampak. Sehari sebelumnya, Google merilis perbaikan untuk 37 celah keamanan, termasuk tujuh yang dinilai kritis.

Versi yang terdampak adalah Chrome sebelum 155.0.8059.79 di Linux dan sebelum 155.0.8059.79/.80 di Windows dan macOS. Pengguna sebaiknya membuka halaman Tentang Chrome, memeriksa pembaruan, lalu meluncurkan ulang browser saat diminta untuk menyelesaikan pemasangannya.

Pengumuman rilis desktop Google, tertanggal 13 Oktober, mencantumkan tujuh kerentanan kritis, 29 berisiko tinggi, dan satu berisiko sedang. Celah-celah tersebut mencakup grafis, dokumen, jaringan, kata sandi, dan perangkat lunak yang menjalankan instruksi situs web.

Google menyebut distribusi pembaruan dapat memakan waktu beberapa hari atau minggu. Karena itu, pengguna yang langsung memeriksa mungkin perlu mengeceknya lagi saat rilis tersebut menjangkau lebih banyak komputer.

Versi Mana yang Perlu Diperbarui?

Peringatan CERT-In mencakup Chrome desktop di Windows, macOS, dan Linux. Pusat Koordinasi Tim Tanggap Darurat Komputer Hong Kong, HKCERT, mencantumkan versi terdampak yang sama dan menyarankan pemasangan perbaikan dari vendor.

• Linux: pasang Chrome 155.0.8059.79 atau versi yang lebih baru.
• Windows: pasang Chrome 155.0.8059.79/.80 atau versi yang lebih baru.
• macOS: pasang Chrome 155.0.8059.79/.80 atau versi yang lebih baru.

Nomor versi penting karena perbaikan disalurkan melalui pembaruan browser. Komputer masih dapat membuka situs web seperti biasa meski menjalankan versi yang mengandung celah-celah ini. Bagi rumah tangga, langkah yang perlu segera dilakukan adalah memeriksa setiap komputer. Bagi organisasi, langkahnya adalah memastikan komputer mana saja yang sudah menerima rilis tersebut dan menyelesaikan peluncuran ulang yang diwajibkan.

Versi Chrome dapat dilihat melalui menu Bantuan, lalu Tentang Google Chrome, yang dibuka dari ikon tiga titik di kanan atas browser. Halaman itu juga memeriksa ketersediaan pembaruan.

Tujuh Celah Kritis Berdampak pada Fungsi Inti Browser

Google mengidentifikasi CVE-2026-110152 sebagai buffer overflow kritis di ANGLE, komponen grafis yang digunakan Chrome. Buffer adalah area memori yang disediakan untuk menampung data. Overflow terjadi ketika perangkat lunak menulis melewati batas area tersebut, yang berpotensi merusak data di sekitarnya atau memungkinkan penyerang mengganggu cara program berjalan.

Menurut pemberitahuan rilis Google, Zhenpeng (Leo) Lin dari depthfirst melaporkan kerentanan ANGLE tersebut pada 30 September. Dampak yang mungkin terjadi mencakup program mogok dan eksekusi kode berbahaya.

Enam kerentanan kritis lainnya merupakan kesalahan use after free. Celah-celah itu berdampak pada komponen Browser, PDF, Network, Core, SVG, dan Media. Komponen-komponen ini menjalankan berbagai fungsi, mulai dari mengelola dokumen dan grafis hingga berkomunikasi melalui jaringan.

Kesalahan use after free terjadi ketika perangkat lunak terus menggunakan bagian memori setelah melepaskannya. Bayangkan program memperlakukan lokasi penyimpanan lama seolah-olah isinya masih menjadi miliknya, padahal ruang tersebut mungkin sudah digunakan untuk hal lain. Penyerang mungkin dapat memengaruhi isi penggantinya dan mengganggu atau mengalihkan jalannya program.

Google mencantumkan enam kode kerentanan kritis tersebut sebagai CVE-2026-110149, CVE-2026-110136, CVE-2026-110161, CVE-2026-110165, CVE-2026-110148, dan CVE-2026-110151. Bersama celah ANGLE, jumlahnya mencapai tujuh dari 37 perbaikan, atau kira-kira satu dari lima.

Apa yang Bisa Terjadi pada Komputer yang Terdampak?

CERT-In memperingatkan bahwa eksploitasi dapat menyebabkan eksekusi kode arbitrer, kebocoran informasi sensitif, atau serangan penolakan layanan. Dalam istilah sehari-hari, dampak tersebut berarti menjalankan instruksi pilihan penyerang, membocorkan data pribadi, atau membuat perangkat lunak berhenti berfungsi dengan baik.

Buletin keamanan Chrome HKCERT, yang juga bertanggal 14 Oktober, mencantumkan dua dampak lain yang mungkin terjadi: peningkatan hak akses dan pembobolan pembatasan keamanan. Yang pertama berarti memperoleh izin melebihi yang biasanya diberikan; yang kedua berarti mengakali aturan perlindungan.

HKCERT menetapkan tingkat Risiko Sedang untuk buletin tersebut, sementara daftar Google menilai tujuh celah secara terpisah sebagai kritis. Kedua penilaian itu memiliki cakupan berbeda: HKCERT memberi peringkat pada buletin secara keseluruhan, sedangkan Google memberi label pada setiap kerentanan secara terpisah. HKCERT menyarankan pengguna menerapkan perbaikan.

Buletin HKCERT merinci CVE-2026-110136 hingga CVE-2026-110172, rangkaian yang mencakup seluruh 37 kode kerentanan. Nomor CVE berfungsi sebagai label referensi agar pembuat perangkat lunak dan administrator dapat melacak masalah keamanan yang sama di berbagai pemberitahuan dan pembaruan.

Kata Sandi, JavaScript, dan Dokumen Juga Terdampak

Perbaikan Google untuk 29 celah berisiko tinggi mencakup masalah di V8, mesin JavaScript Chrome. JavaScript menyediakan instruksi yang membuat banyak situs web interaktif. Kerentanan pada mesin tersebut dapat muncul saat browser memproses instruksi itu.

Daftar V8 mencakup celah type confusion, CVE-2026-110140, serta dua celah use after free, CVE-2026-110168 dan CVE-2026-110169. Type confusion berarti perangkat lunak menangani suatu data seolah-olah jenisnya berbeda, yang dapat menyebabkan operasi memori tidak aman.

Komponen Passwords di Chrome memiliki tiga celah berisiko tinggi: satu kebocoran informasi dan dua kesalahan use after free. Perbaikan lainnya menyangkut Extensions, WebRTC, DOM, Canvas, dan PDFium. Komponen-komponen ini mendukung ekstensi, komunikasi browser, struktur halaman web, penggambaran, dan pemrosesan PDF.

Google juga mencantumkan celah terkait izin di ReadingMode, Installer, Updater, dan Mojo. Sebagai contoh, kesalahan otorisasi berkaitan dengan apakah program memeriksa dengan benar bahwa suatu tindakan diizinkan. Satu celah berisiko sedang adalah kerentanan use after free di FileSystem, yang diidentifikasi sebagai CVE-2026-110142.

Luasnya daftar tersebut menjelaskan mengapa pembaruan ini penting untuk berbagai aktivitas penjelajahan. Chrome memproses teks, skrip, grafis, dokumen, dan data jaringan, sementara rilis ini memperbaiki celah di beberapa jalur pemrosesan tersebut.

Siapa yang Melaporkan Kerentanan Ini?

Menurut penghargaan yang dicantumkan Google, Xinyang Ge dari Anthropic melaporkan kerentanan V8 berisiko tinggi CVE-2026-110169 pada 28 September dengan bantuan Claude. Pemberitahuan itu menyebutkan peneliti, organisasi, dan bantuan yang terlibat, tetapi tidak menjelaskan lebih lanjut peran Claude.

Google juga mencantumkan Xinyang Ge sebagai pelapor beberapa temuan lainnya, termasuk kerentanan kritis di PDF, SVG, dan Media. Google sendiri melaporkan kesalahan kritis di Browser, Network, dan Core. Kontributor lain yang disebutkan antara lain Hoyong Jin, M. Fauzan Wijaya, Aria Akhavan, Souma Ohsawa, dan Andrew Boni.

Tanggal pengungkapan menunjukkan bahwa rilis ini menghimpun temuan yang diperoleh selama beberapa bulan. Daftar Google mencakup kerentanan Bindings yang dilaporkan pada 25 Maret serta kerentanan Media yang lebih baru, dilaporkan pada 6 Oktober. Semua celah tersebut ditangani bersama dalam rilis stabil ini.

Mengapa Beberapa Detail Teknis Masih Dibatasi?

Google menyebut akses ke sejumlah catatan bug mungkin tetap dibatasi selama pengguna menerima pembaruan. Srinivas Sista, yang menerbitkan pengumuman rilis Google Chrome, menjelaskan kebijakan pengungkapan perusahaan:

Akses ke detail bug dan tautan mungkin tetap dibatasi sampai sebagian besar pengguna menerima pembaruan perbaikan.

Google juga menyebut pembatasan dapat berlanjut jika kerentanan berdampak pada pustaka yang digunakan proyek lain yang belum memperbaikinya. Pustaka adalah perangkat lunak yang dapat digunakan kembali, sehingga beberapa tim pengembangan mungkin perlu menangani kesalahan mendasar yang sama.

Pemberitahuan rilis menyebutkan komponen terdampak dan jenis kesalahan, sembari membatasi akses ke sejumlah catatan teknis yang lebih terperinci. Bagi pengguna, informasi praktisnya adalah versi yang memuat perbaikan. Bagi administrator, kode-kode tersebut dapat digunakan untuk mencocokkan rilis ini dengan pelacakan kerentanan dan inventaris perangkat lunak.

Dari Laporan Riset hingga Peringatan Publik

Tanggal-tanggal penting berikut menunjukkan bagaimana temuan satu per satu menjadi pembaruan browser, lalu peringatan keamanan publik:

• 28 September 2026: Xinyang Ge dari Anthropic melaporkan CVE-2026-110169 di V8 dengan bantuan Claude.
• 30 September: Zhenpeng (Leo) Lin dari depthfirst melaporkan buffer overflow kritis di ANGLE.
• 1 hingga 6 Oktober: Google dan peneliti lain melaporkan sejumlah kerentanan kritis dan berisiko tinggi yang disertakan dalam rilis ini.
• 13 Oktober: Google mengumumkan pembaruan stabil Chrome yang memuat 37 perbaikan keamanan.
• 14 Oktober: CERT-In mengeluarkan peringatan dan HKCERT menerbitkan buletin yang mencakup 37 kode kerentanan yang sama.

Tanggal rilis Google menandai dimulainya distribusi. Karena proses peluncuran yang disebutkan dapat memakan waktu beberapa hari atau minggu, pembaruan akan terus disalurkan setelah pengumuman. Karena itu, komputer yang awalnya belum mendapatkan pembaruan sebaiknya diperiksa kembali.

Cara Menyelesaikan Pembaruan

Pengguna Chrome dapat memulai melalui layar pembaruan bawaan browser. Langkah-langkahnya sederhana:

• Buka Chrome dan pilih menu tiga titik di kanan atas.
• Pilih Bantuan, lalu Tentang Google Chrome.
• Biarkan Chrome memeriksa dan mengunduh pembaruan yang tersedia.
• Simpan pekerjaan yang belum selesai, lalu pilih Luncurkan ulang jika diminta.
• Kembali ke halaman Tentang untuk memeriksa versi yang terpasang.

Peluncuran ulang penting karena mengunduh pembaruan dan menjalankan browser yang telah diperbarui merupakan dua langkah terpisah. Membiarkan sesi browser lama tetap terbuka dapat menunda penyelesaian pemasangan.

Organisasi sebaiknya memeriksa versi yang terpasang di seluruh komputer desktop, termasuk perangkat yang penggunanya jarang menutup browser. Tujuannya adalah memastikan komputer menjalankan rilis yang memuat perbaikan dan telah menyelesaikan setiap mulai ulang yang diwajibkan.

Pengguna yang belum melihat rilis tersebut sebaiknya memeriksanya lagi selama proses peluncuran oleh Google. Pemberitahuan resmi menyebut distribusi dapat memakan waktu beberapa hari atau minggu, lebih lama daripada sekadar mengharapkan setiap komputer menerimanya pada hari pengumuman.

Pengguna Edge Juga Perlu Memantau Perbaikan

Microsoft Edge menggunakan Chromium, platform browser yang juga menjadi dasar Chrome. Karena itu, sejumlah kerentanan pada perangkat lunak yang digunakan bersama tersebut mungkin juga memerlukan perbaikan di Edge.

Microsoft mengakui adanya perbaikan keamanan Chromium terbaru dalam pemberitahuan tertanggal 13 Oktober dan menyatakan sedang menyiapkan pembaruan. Saat peringatan itu dikeluarkan, pembaruan keamanan yang sesuai untuk kanal stabil belum dirilis dan Microsoft belum memberikan tanggal rilis.

Pengguna Edge sebaiknya memeriksa pembaruan Microsoft setelah tersedia. Mereka yang menggunakan kedua browser perlu memeriksa masing-masing: Chrome menerima rilis keamanannya dari Google, sedangkan Edge menerimanya dari Microsoft.

Poin Utama

• CERT-In memperingatkan pengguna Chrome desktop pada 14 Oktober 2026 tentang kerentanan yang dapat membocorkan data, mengganggu perangkat lunak, atau memungkinkan eksekusi kode berbahaya.
• Rilis Google pada 13 Oktober memperbaiki 37 celah: tujuh kritis, 29 berisiko tinggi, dan satu berisiko sedang.
• Versi yang telah diperbaiki adalah 155.0.8059.79 untuk Linux dan 155.0.8059.79/.80 untuk Windows dan macOS, atau versi yang lebih baru.
• Pengguna sebaiknya membuka Bantuan, lalu Tentang Google Chrome, memasang pembaruan, dan meluncurkan ulang browser saat diminta.
• Google menyebut distribusi dapat memakan waktu beberapa hari atau minggu. Microsoft belum mengumumkan tanggal untuk pembaruan Edge kanal stabil yang sesuai.