Pengguna Google Chrome perlu mewaspadai celah keamanan pada salah satu ekstensi yang dapat membuka tab, mengubah pengaturan proxy, hingga merekam aktivitas di dalam browser. Kerentanan ini berisiko karena informasi yang tampil di layar dapat mencakup kredensial, API key, maupun data internal perusahaan.

Celah tersebut tercatat sebagai CVE-2026-84388 dengan skor CVSS 9,1 atau kategori kritis. Penyerang dapat memanfaatkan kelemahan pada ekstensi untuk membuat situs berbahaya dianggap sebagai sumber yang terpercaya.

Beberapa dampak yang mungkin terjadi meliputi:

• Aktivitas pada tab browser dapat direkam.
• Situs berbahaya dapat menentukan tab yang dibuka.
• Pengaturan proxy browser dapat dimanipulasi.
• Informasi sensitif yang tampil di layar berpotensi terekspos.

Baca Juga: Jangan Asal Pasang Ekstensi, Chrome Bisa Jadi Alat Mata-Mata

Celah Ekstensi Chrome Bisa Dimanfaatkan Penyerang

Kerentanan bermula dari mekanisme kepercayaan pada ekstensi yang tidak memverifikasi sumber permintaan secara memadai. Kondisi ini memungkinkan sebuah situs dikendalikan penyerang dianggap sebagai server yang sah oleh ekstensi.

Peneliti juga menemukan bahwa ekstensi dapat menerima komunikasi dari situs secara luas. Ditambah mekanisme validasi token yang tidak cukup ketat, halaman berbahaya dapat mengirim permintaan untuk menjalankan sesi dengan parameter yang dibuat sendiri.

Kondisi tersebut memungkinkan penyerang untuk:

• Menentukan sumber konfigurasi sesi.
• Mengubah pengaturan proxy.
• Memilih halaman atau tab tujuan.
• Mengaktifkan perekaman aktivitas.

Data Sensitif di Browser Bisa Ikut Terekam

Risiko terbesar muncul ketika pengguna sedang membuka informasi penting di browser. Setelah sesi berhasil dijalankan, penyerang dapat membuka halaman tertentu dan merekam aktivitas yang berlangsung di dalam tab.

Informasi yang tampil di layar kemudian berpotensi dikirim ke infrastruktur yang dikendalikan penyerang. Hal ini membuat kredensial, API key, atau informasi perusahaan berisiko terekspos tanpa pengguna menyadarinya.

Meski HTTPS dapat menyulitkan penyadapan lalu lintas melalui proxy, perlindungan tersebut tidak mencegah perekaman langsung terhadap apa yang tampil di layar. Dengan demikian, informasi sensitif tetap dapat menjadi target.

Baca Juga: Chrome Kini Update Tiap 2 Minggu, Apa Dampaknya?

Persetujuan Pengguna Juga Berpotensi Dilewati

Peneliti menemukan kelemahan lain pada mekanisme persetujuan ekstensi. Kotak dialog persetujuan yang muncul pada halaman dapat diakses oleh JavaScript berbahaya sehingga tombol Allow berpotensi ditekan secara otomatis.

Artinya, pengguna tidak selalu sadar bahwa sebuah tindakan telah disetujui. Setelah akses diperoleh, penyerang dapat membuka halaman pilihannya dan merekam aktivitas di dalamnya.

Potensi dampaknya, antara lain:

• Persetujuan dapat dipicu secara otomatis.
• Halaman tertentu dapat dibuka tanpa pemahaman pengguna.
• Aktivitas pada halaman dapat direkam.
• Hasil rekaman dapat dikirim ke pihak yang tidak berwenang.

Fortinet Sudah Merilis Perbaikan

Kerentanan ini dilaporkan kepada Fortinet pada 17 Juli 2026, dan perbaikannya dirilis pada 1 Agustus 2026. Hingga laporan tersebut diterbitkan, belum ada kasus eksploitasi di dunia nyata yang dikonfirmasi.

Meski demikian, organisasi yang menggunakan ekstensi terdampak tetap perlu segera melakukan pembaruan dan memeriksa aktivitas yang tidak biasa. Langkah tersebut penting untuk memastikan tidak ada perangkat yang masih menggunakan versi rentan.

Beberapa tindakan yang dapat dilakukan adalah:

• Memperbarui ekstensi ke versi yang telah diperbaiki.
• Mengidentifikasi perangkat yang masih menggunakan versi terdampak.
• Memeriksa log akses dan sesi untuk aktivitas mencurigakan.
• Meninjau perubahan pengaturan proxy.
• Memeriksa aktivitas perekaman yang dikirim ke alamat tidak dikenal.

Kasus ini menjadi pengingat bahwa keamanan browser juga merupakan bagian dari perlindungan data. Pengguna dan organisasi perlu berhati-hati dalam memasang ekstensi, memeriksa izin yang diberikan, serta memastikan seluruh komponen browser selalu diperbarui.