Google publikon kod shfrytëzues për cenim në Chromium

Google në një postim të së mërmes së 2026-s publikoi një kod provë-koncept për një cenim të pazgjidhur në bazën e kodit të shfletuesit Chromium, i cili prek miliona përdorues të Chrome‑it, Microsoft Edge‑it dhe të gjithë shfletuesit e tjerë bazuar në Chromium. Cenimi shfrytëzon ndërfaqen Browser Fetch, e cila lejon shkarkimin në sfond të videove të gjata dhe skedarëve të mëdhenj. Përmes këtij kodi, një sulmues mund të krijojë lidhje që monitorojnë aktivitetin e shfletuesit, veprojnë si proxy për vizitimin e faqeve të dëmshme dhe mund të nisë sulme DDoS, ndërsa lidhjet mbeten aktive edhe pas rinisjes së pajisjes.

Cenimi, i raportuar në fund të vitit 2022 nga studiuesja e pavarur Lyra Rebane, ka qenë i paparë për 46 muaj. Edhe pse dy zhvillues të Chromium e klasifikuan si “cenim serioz” me prioritet P1 dhe rëndësi S2, ai mbeti i pa rregulluar dhe kodet e publikuara u hoqën nga platforma, por ende janë të disponueshme në arkiva të internetit. Google ka deklaruar se është në dijeni të publikimit të kodit dhe po punon për një rregullim, por ende nuk ka dhënë ndonjë shpjegim për arsyen e publikimit të menjëhershëm.

Sipas Rebane-s, përdorimi i kodit shfrytëzues është relativisht i lehtë, por për të kontrolluar një numër të madh pajisjesh në një rrjet të përbashkët kërkon punë shtesë. Eksploitimi përmes API-së Fetch hap një “service worker” që qëndron aktiv vazhdimisht, dhe lidhja mund të rihapet edhe pas rinisjes së shfletuesit ose pajisjes. Në Chrome, dritarja e shkarkimeve mund të duket më persistent, ndërsa në Edge shpesh nuk shfaqet fare, duke e bërë vështirë zbulimin e sulmit për përdoruesit pak të përvojuar.

Përveç Chrome‑it, cenimi prek edhe shfletuesit Brave, Opera, Vivaldi dhe Arc, ndërsa Firefox dhe Safari janë të përjashtuar pasi nuk mbështesin funksionin Browser Fetch. Edhe pse përdorimi i këtij funksioni është i kufizuar – rreth 17 skedarë të përfunduar në ditë për përdorues – rreziku mbetet i rëndësishëm, veçanërisht për përdoruesit që vërejnë dritare shkarkimesh pa përmbajtje dhe nuk e kuptojnë shkakun e tyre.