Zero-Day Google Chrome 2026 dan Cara Memastikan Browser Selalu Aman

Zero-day Chrome 2026 berjumlah tujuh per 29 Oktober 2026: tujuh celah Google Chrome dan komponennya dinyatakan Google sudah dieksploitasi di dunia nyata, dan semuanya masuk katalog CISA KEV antara Februari dan September 2026. Cara terbaik melindungi diri adalah memastikan browser memperbarui diri dan benar-benar dimulai ulang, karena versi lama yang masih berjalan tetap rentan.

Ringkasan Zero-Day Chrome 2026

Daftar berikut disusun dari catatan rilis resmi Chrome Releases, yang memuat pernyataan Google bahwa exploit untuk celah tersebut ada di dunia nyata, dan dari katalog CISA KEV. Sejak 9 September hingga 28 Oktober 2026 tidak ada pengumuman zero-day Chrome baru di Chrome Releases, dan KEV juga tidak memuat entri Chromium baru. Tanggal perbaikan mengikuti waktu AS.

• CVE-2026-2441: use-after-free pada CSS. Diperbaiki di Chrome 145.0.7632.75/76 pada 13 Februari 2026, masuk KEV 17 Februari 2026.
• CVE-2026-3909: out-of-bounds write pada pustaka grafis Skia, dilaporkan Google Threat Analysis Group. Diperbaiki di Chrome 146.0.7680.80 pada 13 Maret 2026, masuk KEV hari yang sama.
• CVE-2026-3910: inappropriate implementation pada mesin JavaScript V8, dilaporkan Google Threat Analysis Group. Diperbaiki di Chrome 146.0.7680.75/76 pada 12 Maret 2026, masuk KEV 13 Maret 2026.
• CVE-2026-5281: use-after-free pada Dawn, implementasi WebGPU. Diperbaiki di Chrome 146.0.7680.177/178 pada 31 Maret 2026, masuk KEV 1 April 2026.
• CVE-2026-11645: akses memori di luar batas pada V8. Diperbaiki di Chrome 149.0.7827.102/.103 pada 8 Juni 2026, masuk KEV 9 Juni 2026.
• CVE-2026-85046: type confusion di V8. Diperbaiki di Chrome 152.0.7977.82/.83 pada 3 September 2026, masuk KEV 4 September 2026.
• CVE-2026-87491: out-of-bounds write di V8, diperbaiki di Chrome 153.0.8010.36 (Linux) dan 153.0.8010.36/.37 (Windows dan Mac) pada 8 September 2026, masuk KEV 9 September 2026. Dilaporkan oleh Jihyeon Jeong dari Seoul National University. Google memberinya label Medium, padahal exploit-nya sudah ada di dunia nyata.

Google memberi label keparahan sendiri (High atau Medium) pada setiap celah, sedangkan skor CVSS yang beredar berasal dari pihak lain, sehingga status eksploitasi lebih layak dijadikan patokan. Google juga menyatakan akses ke detail bug dan tautannya dapat tetap dibatasi sampai sebagian besar pengguna sudah memperoleh perbaikan.

Apa Itu Zero-Day Chrome dan Mengapa Berulang

Zero-day adalah celah yang sudah dieksploitasi sebelum perbaikan tersedia atau sebelum pengguna sempat memasangnya. Penjelasan lengkapnya ada pada artikel apa itu kerentanan zero-day. Pada Chrome, sebagian besar celah berasal dari kesalahan memori di komponen yang memproses konten tidak tepercaya, seperti mesin JavaScript V8, grafis Skia, dan WebGPU. Pengguna cukup membuka halaman web yang dibuat khusus, tanpa mengunduh apa pun, agar eksploitasi dimulai. Karena itu status eksploitasi lebih penting daripada label keparahan. Lihat CISA KEV sebagai acuan.

Siapa yang Terdampak

Semua pengguna Chrome yang belum memperbarui terdampak. CISA juga mencatat celah-celah ini dapat memengaruhi browser lain berbasis Chromium, termasuk Microsoft Edge dan Opera. Microsoft, misalnya, menutup CVE-2026-85046 lewat Edge 152.0.4191.62 (2 September 2026) dan CVE-2026-87491 lewat Edge 152.0.4191.66 (4 September 2026). Aplikasi desktop berbasis Electron menyertakan Chromium sendiri yang diperbarui oleh pengembang aplikasi, bukan oleh Chrome. Untuk Chrome Stable, versi sebelum 153.0.8010.36 masih terpapar CVE-2026-87491.

Cara Memastikan Browser Selalu Aman

1. Periksa versi. Buka menu tiga titik di kanan atas, pilih Bantuan, lalu Tentang Google Chrome. Halaman ini memeriksa pembaruan dan menampilkan tombol Relaunch bila ada pembaruan yang menunggu.
2. Mulai ulang browser. Menurut Google, pembaruan berlaku saat Chrome dimulai ulang. Relaunch membuka kembali tab dan jendela yang tersimpan, kecuali jendela Incognito, jadi simpan pekerjaan di jendela Incognito lebih dahulu.
3. Biarkan pembaruan otomatis aktif. Jangan menonaktifkan layanan pembaruan Chrome atau mengunci versi tanpa alasan kuat.
4. Kebijakan enterprise. Administrator dapat memakai kebijakan Chrome Enterprise RelaunchNotification untuk memberi tahu pengguna bahwa relaunch disarankan atau diwajibkan, dan RelaunchNotificationPeriod untuk menetapkan jangka waktunya. Pantau versi di seluruh perangkat melalui manajemen browser atau MDM.
5. Inventarisasi Chromium tertanam. Catat aplikasi Electron dan komponen berbasis Chromium di perangkat organisasi, dan minta vendor memperbarui.
6. Perbarui browser lain. Edge, Opera, dan browser berbasis Chromium lain merilis perbaikan menurut jadwal masing-masing, jadi periksa pembaruannya sendiri.
7. Lapisan tambahan. Aktifkan EDR yang memantau proses anak dari browser, gunakan isolasi situs, dan batasi ekstensi yang tidak perlu. Bahas pula patch management berbasis risiko bersama tim Anda.

Rujukan resmi: catatan rilis Chrome 153, katalog CISA KEV, dan laporan BleepingComputer tentang zero-day kelima tahun ini.

Kebiasaan untuk Pengguna Individu dan Tim IT

Bagi pengguna individu, tiga kebiasaan sederhana sudah memberi perlindungan besar. Pertama, setiap kali Chrome menampilkan pemberitahuan pembaruan, lakukan relaunch segera, bukan menundanya berhari-hari. Kedua, hindari menumpuk puluhan tab yang dibiarkan terbuka berminggu-minggu, karena itu sering menjadi alasan orang menunda restart. Ketiga, pasang pembaruan sistem operasi dan aplikasi lain, sebab eksploitasi browser sering dirangkai dengan celah peningkatan hak akses di sistem operasi, seperti pada Patch Tuesday Februari 2026.

Bagi tim IT, ukur kepatuhan pembaruan, bukan hanya mengandalkan setelan otomatis. Tetapkan target misalnya semua perangkat berada pada versi terbaru dalam beberapa hari setelah rilis, laporkan perangkat yang tertinggal, dan siapkan jalur eskalasi bila ada pengguna yang menunda restart. Untuk perangkat seluler, perhatikan juga pembaruan browser di Android dan iOS, karena browser seluler juga menjadi sasaran. Untuk konteks perangkat seluler, baca zero-day iPhone 2026. Terakhir, edukasi pengguna bahwa halaman yang tampak biasa tetap dapat berbahaya, dan bahwa pembaruan browser bukan gangguan melainkan bagian dari pertahanan.

Linimasa Singkat

• 13 Februari 2026: perbaikan CVE-2026-2441, masuk KEV 17 Februari.
• 12-13 Maret 2026: perbaikan CVE-2026-3910 dan CVE-2026-3909, keduanya masuk KEV 13 Maret.
• 31 Maret 2026: perbaikan CVE-2026-5281, masuk KEV 1 April.
• 8 Juni 2026: perbaikan CVE-2026-11645, masuk KEV 9 Juni.
• 3 September 2026: perbaikan CVE-2026-85046, masuk KEV 4 September.
• 8 September 2026: Chrome 153 memperbaiki CVE-2026-87491, masuk KEV 9 September dengan batas patch CISA 23 September.

Yang Tidak Diketahui Publik

Google biasanya hanya menyatakan bahwa mereka mengetahui exploit untuk sebuah celah ada di dunia nyata, tanpa menyebut siapa korban atau pelakunya. Karena itu, jangan menyimpulkan bahwa hanya target tertentu yang berisiko. Anggap setiap browser yang belum diperbarui sebagai terpapar, dan hindari menyebarkan klaim atribusi yang belum dikonfirmasi.

Pertanyaan yang Sering Diajukan

Berapa jumlah zero-day Chrome 2026?

Tujuh per 29 Oktober 2026, berdasarkan pengumuman Google di Chrome Releases dan entri katalog CISA KEV. Zero-day terakhir yang diumumkan adalah CVE-2026-87491 pada 8 September 2026. Angkanya bisa bertambah, jadi periksa Chrome Releases dan KEV secara berkala.

Apakah cukup menunggu pembaruan otomatis?

Belum tentu. Chrome mengunduh pembaruan di latar belakang, tetapi perlu restart agar berlaku. Biasakan menutup dan membuka kembali browser setiap ada tombol pembaruan.

Apakah mode penyamaran atau VPN melindungi dari celah ini?

Tidak. Keduanya tidak menambal kode browser. Hanya pembaruan yang menutup celah.

Kesimpulan

Per 29 Oktober 2026, zero-day Chrome adalah rutinitas yang harus dihadapi dengan disiplin pembaruan: auto-update aktif, restart segera, dan inventaris Chromium tertanam. Organisasi sebaiknya memperlakukan pembaruan browser sebagai patch kritis. Untuk membangun kebiasaan keamanan yang konsisten di tim Anda, kunjungi kursus Linuxhackingid.