Η Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών των ΗΠΑ (CISA) εξέδωσε ειδοποίηση για μια νέα zero-day ευπάθεια στο Google Chrome, η οποία έχει ήδη αρχίσει να αξιοποιείται από κακόβουλους παράγοντες. Η ευπάθεια, καταχωρημένη ως CVE-2025-13223, επηρεάζει το Chromium V8 JavaScript engine και αποτελεί σοβαρή απειλή για εκατομμύρια χρήστες.
Πρόκειται για ένα ελάττωμα που ενδέχεται να οδηγήσει σε απομακρυσμένη εκτέλεση κώδικα (RCE), παραβίαση δεδομένων και πλήρη χειραγώγηση του συστήματος μέσω ενός απλού ιστότοπου – ένα σενάριο ιδιαίτερα επικίνδυνο για κυβερνητικούς φορείς και επιχειρήσεις.
Πώς λειτουργεί η ευπάθεια – Ο ρόλος των type confusion bugs
Το CVE-2025-13223 προέρχεται από ένα σφάλμα τύπου type confusion, κατηγοριοποιημένο ως CWE-843. Με απλά λόγια, το πρόγραμμα περιήγησης ξεγελιέται ώστε να επεξεργαστεί δεδομένα σαν να είναι διαφορετικού τύπου από αυτόν που πραγματικά είναι. Αυτό οδηγεί σε κακή διαχείριση heap memory και επιτρέπει σε έναν επιτιθέμενο να εισαγάγει κακόβουλες εντολές.
Δείτε επίσης: Hackers εκμεταλλεύονται RCE ευπάθεια του 7-Zip
Η Google εντόπισε και επιδιόρθωσε το πρόβλημα στις 19 Νοεμβρίου 2025, κυκλοφορώντας την ενημέρωση ασφαλείας για όλες τις εκδόσεις του Chrome πριν από την 131.0.6778.72. Ωστόσο, δεδομένου ότι η εκμετάλλευση είχε ήδη εντοπιστεί, η προειδοποίηση ήταν αναπόφευκτη.
Ενεργή εκμετάλλευση πριν το patch – Τι γνωρίζουμε μέχρι τώρα
Παρότι λεπτομέρειες για συγκεκριμένες καμπάνιες δεν έχουν γίνει γνωστές, η CISA επιβεβαίωσε ότι hackers αξιοποιούν το κενό ασφαλείας πριν το patch γίνει ευρέως διαθέσιμο.
Η ευπάθεια εντάχθηκε άμεσα στον κατάλογο Known Exploited Vulnerabilities (KEV), κάτι που υποχρεώνει όλες τις ομοσπονδιακές υπηρεσίες των ΗΠΑ να λάβουν διορθωτικά μέτρα έως τις 10 Δεκεμβρίου 2025.
Το γεγονός ότι αποτελεί zero-day σημαίνει πως οι επιθέσεις μπορούσαν να πραγματοποιηθούν χωρίς καμία προειδοποίηση, μέσω μεθόδων όπως:
- drive-by downloads,
- κακόβουλα scripts σε παραβιασμένους ιστότοπους,
- phishing καμπάνιες που εκμεταλλεύονται αδυναμίες της JavaScript engine.
Οι επιτιθέμενοι χρειάζονται μόνο να κάνουν τον χρήστη να επισκεφθεί μια συγκεκριμένη ιστοσελίδα — από εκεί και πέρα τα υπόλοιπα γίνονται σιωπηλά στο παρασκήνιο.
Δείτε επίσης: WordPress: Σοβαρή ευπάθεια στο plugin W3 Total Cache
Επηρεασμένα συστήματα – Δεν κινδυνεύει μόνο το Chrome
Η V8, ως πυρήνας επεξεργασίας JavaScript, χρησιμοποιείται και από άλλα προγράμματα περιήγησης ανοιχτού κώδικα. Εκτός από το Chrome σε Windows, macOS και Linux, επηρεάζονται επίσης:
- Microsoft Edge
- Brave
- Opera
- οποιοσδήποτε άλλος Chromium-based browser δεν έχει λάβει την ενημέρωση.
Σε περιβάλλοντα cloud και επιχειρησιακά δίκτυα, η ευπάθεια μπορεί να αποτελέσει «backdoor» για lateral movement, κλοπή credentials ή επιθέσεις supply chain.
Δεν υπάρχει ακόμη συσχέτιση με ransomware – αλλά ο κίνδυνος αυξάνεται
Παρότι δεν έχουν επιβεβαιωθεί συνδέσεις με ransomware ομάδες, οι αναλυτές απειλών εκτιμούν ότι είναι θέμα χρόνου. Zero-days όπως αυτό συχνά γίνονται πολύτιμα εργαλεία για ομάδες κυβερνοεγκλήματος, ιδιαίτερα για:
- phishing kits,
- επιθέσεις εναντίον browsers σε εταιρικούς σταθμούς εργασίας,
- παραβιάσεις credentials μέσω web sessions,
- επιθέσεις μεγάλης κλίμακας σε κυβερνητικούς φορείς.
Η CISA προειδοποιεί ότι οι οργανισμοί πρέπει να αναμένουν αύξηση σε phishing emails που οδηγούν σε κακόβουλες σελίδες σχεδιασμένες να εκμεταλλευτούν ακριβώς αυτό το bug.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Δείτε επίσης: Operation WrtHug: Εκμετάλλευση ευπαθειών για μόλυνση EoL ASUS routers
Τι πρέπει να κάνουν οι οργανισμοί και οι χρήστες – Άμεση δράση
Η βασική γραμμή άμυνας είναι ξεκάθαρη: άμεση ενημέρωση του Chrome στην τελευταία διαθέσιμη έκδοση.
Για περιβάλλοντα υψηλής ασφάλειας, συστήνεται επίσης:
1. Ευθυγράμμιση με την Binding Operational Directive 22-01
Οι δημόσιοι οργανισμοί οφείλουν να ακολουθούν τις οδηγίες της BOD 22-01, που απαιτεί:
- συνεχή παρακολούθηση ευπαθειών,
- αξιοποίηση zero-trust αρχιτεκτονικής,
- ταχεία εφαρμογή patches σε κρίσιμα συστήματα.
2. Εφαρμογή αρχών Zero Trust
Η απομόνωση browser processes, η χρήση sandboxing και η μειωμένη εμπιστοσύνη σε scripts τρίτων μπορούν να περιορίσουν σημαντικά πιθανές παραβιάσεις.
3. Προσωρινή απενεργοποίηση του προϊόντος σε ακραίες περιπτώσεις
Αν για τεχνικούς λόγους δεν είναι εφικτή η άμεση αναβάθμιση, η CISA προτείνει ως έσχατη λύση την προσωρινή απενεργοποίηση του browser στα κρίσιμα endpoints ώστε να αποτραπεί πιθανή επίθεση.
