Najbezpieczniejsza przeglądarka 2026? Chrome, Edge, Opera, Brave, Firefox i Safari w liczbach – trzy silniki, 15 zero-dayów

Na pulpicie masz ikonki sześciu przeglądarek. Chrome, Edge, Opera, Brave, Firefox, Safari. Wybór jak w markecie. Problem w tym, że pod maską są tylko trzy silniki – i to one, a nie logo, decydują o tym, czy ktoś przejmie Twój laptop po kliknięciu w link. 💥

W tym roku Google naprawił już siedem dziur w Chrome, które były aktywnie wykorzystywane w atakach, zanim ktokolwiek je załatał. Każda z nich siedziała też w Edge, Operze i Brave, bo to ten sam kod. Pytanie więc nie brzmi „która przeglądarka jest najbezpieczniejsza”, tylko „który silnik, jak szybko łatany i przez kogo”. Policzyłem to na liczbach z 2025 i 2026 roku.

Trzy silniki, czyli dlaczego „wybór przeglądarki” to w dużej mierze iluzja

Silnik przeglądarki to ta część, która czyta HTML, wykonuje JavaScript i rysuje stronę. Po ludzku: to on dostaje do ręki kod ze strony, której nie znasz, i musi go uruchomić tak, żeby nic Ci się nie stało. Wszystkie znane mi exploity na przeglądarki celują właśnie tam.

I tu niespodzianka dla nietechnicznych czytelników: silniki są trzy. Wszystko inne to skórka, ustawienia prywatności i pasek adresu.

Co to oznacza w praktyce? Że gdy Google ogłasza „exploit na CVE-2026-xxxxx istnieje w sieci”, ta sama dziura siedzi u ośmiu na dziesięciu użytkowników internetu. Nie tylko w Chrome. W Edge, w Operze, w Brave, w Samsung Internet na telefonie Twojej mamy i w każdej aplikacji desktopowej zbudowanej na Electronie (Slack, Teams, Discord, VS Code).

Na iPhonie jest jeszcze ciekawiej: „Chrome na iOS” to tak naprawdę WebKit z logo Chrome, bo Apple do 2024 r. nie dopuszczał innych silników, a po zmianach wymuszonych w UE przez DMA i tak nikt nie wypuścił tam własnego. Czyli iPhone = WebKit, kropka.

Lekcja nr 1: porównywanie „Opery z Brave” pod kątem exploitów to porównywanie dwóch lakierów na tym samym samochodzie. Rzeczywiste pytanie brzmi: jak szybko dany producent przepuszcza do Ciebie łatki z Chromium i co dokłada od siebie.

Zero-daye, czyli co naprawdę jest atakowane

Zero-day to dziura, którą przestępcy wykorzystują, zanim producent wyda łatkę. Dla przeglądarki to najgorszy scenariusz: wchodzisz na stronę, a ktoś wykonuje kod na Twoim komputerze. Bez klikania „pobierz”, bez „uruchom”.

Google Threat Intelligence Group w swoim corocznym raporcie „Look What You Made Us Patch” naliczył 90 zero-dayów wykorzystanych w 2025 r. (78 w 2024 r., rekordowe 100 w 2023 r.). I tu ważna wiadomość: na przeglądarki przypadło tylko 8 z nich, poniżej 10% – tendencja spadkowa trzeci rok z rzędu. Napastnicy przenieśli się na systemy operacyjne (39 zero-dayów), urządzenia brzegowe i appliance’y (48% wszystkich, rekord). Po raz pierwszy więcej zero-dayów przypisano komercyjnym producentom spyware (CSV) niż państwowym grupom szpiegowskim.

A teraz, jak to wygląda u poszczególnych silników.

Chrome: 15 zero-dayów w 21 miesięcy

Osiem w 2025 r. i siedem do 9 września 2026 r. Prawie wszystkie w tym samym miejscu: V8, czyli silniku JavaScript (type confusion, out-of-bounds, use-after-free), do tego grafika (Skia, ANGLE, Dawn/WebGPU) i dwie ucieczki z sandboxa. Większość znalazł Google Threat Analysis Group, który śledzi producentów spyware. Pierwszy zero-day 2025 r. (CVE-2025-2783) zgłosił Kaspersky – był użyty w operacji szpiegowskiej „ForumTroll” przeciwko rosyjskim mediom i uczelniom, a atak zaczynał się od jednego kliknięcia w link z maila.

Czy to znaczy, że Chrome jest dziurawy jak sito? Nie. To znaczy, że jest największym celem na świecie i jednocześnie ma najwięcej ludzi, którzy te ataki wykrywają. Gdyby 79% rynku miał Firefox, te same zespoły znajdowałyby je w SpiderMonkey. Natomiast dla Ciebie jako użytkownika Chromium to oznacza jedno: tempo aktualizacji musi być tygodniowe, bo napastnicy nie czekają.

Safari i WebKit: mało, ale za to „niezwykle wyrafinowanych”

Apple używa jednej formułki: „może być wykorzystywane w niezwykle wyrafinowanym ataku na konkretne osoby”. To kodowe określenie na komercyjne spyware typu Pegasus czy Graphite. W 2025 r. takie łatki w WebKicie dostaliśmy trzy, w grudniu dwie naraz – przy czym CVE-2025-14174 to ten sam błąd, który Google dwa dni wcześniej załatał w Chrome (we współdzielonej bibliotece ANGLE). Marzec 2026 r. przyniósł exploit kit „DarkSword” opisany równocześnie przez iVerify, Lookout i Google TIG, a sierpniowa aktualizacja Safari 26.6.1 zamknęła 21 dziur w samym WebKicie.

Wniosek: użytkownik Safari rzadziej trafia do statystyk, ale jak już trafia, to jako cel państwowego lub najemnego szpiega. Dla zwykłej firmy ryzyko jest niskie, dla prawnika, dziennikarza czy zarządu – inne. Stąd Apple ma Lockdown Mode, tryb, który wyłącza kawałki WebKita w zamian za bezpieczeństwo.

Firefox: najrzadziej atakowany, nie znaczy nieatakowany

SecurityWeek policzył, że przez ostatnią dekadę w Firefoksie wykorzystano w atakach około tuzina dziur. W marcu 2025 r. Mozilla w dwa dni po Google załatała CVE-2025-2857 – identyczny wzorzec błędu w kodzie IPC, który w Chrome był właśnie eksploatowany (Mozilla nie potwierdziła ataków na Firefoksa). W maju 2025 r. na Pwn2Own Berlin dwóch badaczy złamało Firefoksa (renderer, bez ucieczki z sandboxa) – Mozilla wydała poprawkę tego samego dnia. W lipcu 2026 r. pojawiły się dwa błędy (CVE-2026-15718/15719) z publicznym exploitem, ale bez ataków w sieci.

Mały udział w rynku to tu paradoksalnie zaleta: nikt nie inwestuje w exploit na 3% rynku, jeśli ten sam budżet może dać 79%. Wyjątkiem jest Tor Browser (zbudowany na Firefoksie) – tam exploity się pojawiają, bo cel jest konkretny.

Lekcja nr 2: liczba zero-dayów mierzy atrakcyjność celu i czujność obrońców, nie jakość kodu. Ale to, że Twój silnik jest celem numer jeden, jest faktem, z którym musisz żyć – i z którego wynika cała reszta tego tekstu.

CVE: liczby, które niemal każdy czyta na odwrót

Na forach co roku wraca „ranking najbardziej dziurawych przeglądarek” robiony prostą metodą: policz CVE. Zróbmy to, a potem pokażę, dlaczego ta metoda w 2026 r. ostatecznie umarła.

Chrome 149 i 150 razem załatały 1072 błędy bezpieczeństwa – więcej niż 23 poprzednie wydania razem wzięte. Od kwietnia 2026 r. Google wydał ponad 1400 poprawek. Co się stało? Google puścił na własny kod agentów AI (Big Sleep z DeepMind i Project Zero, CodeMender), które co dobę przeczesują każdą zmianę. Efekt: do marca 2026 r. Google dostał więcej zgłoszeń niż przez cały 2025 r., w kwietniu obniżył stawki bug bounty za proste błędy, a teraz testuje dwie aktualizacje bezpieczeństwa tygodniowo, bo tygodniowa już nie nadąża.

I teraz pytanie do zwolenników liczenia CVE: czy Chrome w 2026 r. stał się sześć razy mniej bezpieczny niż w 2025 r.? Oczywiście nie. Stał się sześć razy dokładniej przeszukany. Liczba CVE mierzy intensywność szukania, nie liczbę dziur. Firefox z 187 CVE nie jest „prawie tak dziurawy jak Chrome” – ma po prostu uczciwy, publiczny proces zgłaszania. A Safari z kilkudziesięcioma CVE nie jest trzy razy lepszy – Apple po prostu mówi mniej i później.

Jest za to jedna liczba, która od lat się nie zmienia i naprawdę o czymś mówi: około 70% poważnych błędów w Chromium to błędy bezpieczeństwa pamięci (use-after-free, przepełnienia bufora) – czyli klasyczne pomyłki w C++. GTIG policzył, że w 2025 r. 35% wszystkich wykorzystanych zero-dayów to właśnie ta kategoria. Dlatego cała trójka inwestuje w to samo: Firefox od lat wciąga Rusta, Chrome ma MiraclePtr (zamienia use-after-free w zwykły crash), V8 Sandbox i w 2026 r. przeniósł dekoder PNG na Rusta, a Apple w iPhonie 17 wprowadził sprzętową Memory Integrity Enforcement.

Lekcja nr 3: jeśli ktoś sprzedaje Ci przeglądarkę hasłem „mamy najmniej CVE”, pytaj, ile osób tych CVE szuka. Cisza w bazie NVD to częściej brak audytu niż brak błędów.

Jak szybko łatają – jedyna metryka, którą bym wieszał na ścianie

Zero-day to problem producenta. Ale od momentu publikacji łatki błąd staje się n-dayem, czyli dziurą, którą zna już cały świat, a Ty jeszcze jej nie masz załatanej. Chromium jest open source: w chwili, gdy poprawka ląduje w repozytorium, każdy może ją odwrócić i napisać exploit. Dlatego tempo jest wszystkim.

Najlepsze twarde dane dał Project Zero w analizie z 2022 r. (zgłoszenia z lat 2019-2021): Chrome potrzebował średnio 30 dni od zgłoszenia do wydania poprawki, Firefox 38, WebKit 73. Ciekawsze było to, co siedziało w środku: Chrome miał łatkę gotową w kodzie już po ok. 5 dniach, a potem czekała na wydanie przez większość tych 30 dni. Google wyciągnął wniosek – od sierpnia 2023 r. (Chrome 116) aktualizacje bezpieczeństwa wychodzą co tydzień, co skróciło „patch gap” z ok. 15 dni o kolejne 3,5 dnia. W 2026 r., jak pisałem wyżej, pilotuje dwie w tygodniu.

Na pentestach widuję to tak: skanuję sieć klienta, wyciągam wersje przeglądarek z nagłówków User-Agent i prawie zawsze mam dwie-trzy stacje z przeglądarką sprzed kilku miesięcy, bo „ktoś nie restartował od wakacji”. W rodzinie Chromium każda taka stacja ma na pokładzie wszystkie tegoroczne zero-daye. Nie potrzebuję wtedy exploita za milion, wystarczy poczekać, aż ktoś kliknie.

Lekcja nr 4: w firmie nie wybierasz „bezpiecznej przeglądarki”. Wybierasz tę, którą umiesz wymusić w aktualnej wersji politykami (GPO/Intune/MDM) na wszystkich stacjach. Dla biznesu to sprowadza się do Chrome lub Edge z polityką automatycznych aktualizacji i wymuszonym restartem, ewentualnie Firefox ESR.

Ile liczy zespół bezpieczeństwa? Nikt nie powie, ale portfel mówi

Szukałem aktualnych liczb i powiem uczciwie: żaden z trzech producentów nie publikuje liczebności zespołu bezpieczeństwa przeglądarki. Ostatnie publiczne liczby są stare (Chrome mówił o ok. 20 inżynierach w 2013 r., Mozilla o ok. 80 osobach łącznie z wolontariuszami w 2008 r.) i dziś nic nie znaczą. Są za to trzy wskaźniki zastępcze, które coś mówią: ile płacą badaczom, kto znajduje ich błędy i co się działo z ludźmi.

Przy Operze dodam coś, co zawsze powtarzam klientom: jej opóźnienia w łatkach to problem techniczny, do policzenia w dniach. Natomiast to, że przeglądarka z wbudowanym „VPN-em” (w praktyce proxy) należy w dwóch trzecich do spółki z Pekinu, to pytanie, które powinien zadać dział compliance, a nie pentester. Opera twierdzi, że właściciel nie ma dostępu do danych użytkowników. Ja nie mam jak tego zweryfikować – i to jest cała odpowiedź.

Lekcja nr 5: bezpieczeństwo silnika kupuje się pieniędzmi i otwartością. Google ma najwięcej pierwszego, Mozilla najwięcej drugiego, Apple ma pieniądze i ciszę. Producenci na Chromium nie mają silnika – mają zegarek.

Gdzie naprawdę giną pieniądze: wtyczki i infostealery

Teraz zimny prysznic dla wszystkich, którzy dotrwali do tego miejsca, żeby wybrać „najbezpieczniejszy silnik”. W moich zleceniach exploit na przeglądarkę widuję rzadko. To, co spotykam ciągle, to:

• Infostealery, czyli malware, który po prostu czyta zapisane w przeglądarce hasła, ciasteczka i sesje. Flashpoint policzył, że w pierwszej połowie 2025 r. ukradły 1,8 mld loginów z 5,8 mln urządzeń, a w całym 2025 r. zainfekowały ponad 11 mln urządzeń. Verizon w raporcie DBIR 2025 pokazał, że 54% ofiar ransomware miało wcześniej swoje domeny w logach infostealerów. Infostealer nie potrzebuje zero-daya. Potrzebuje, żebyś zainstalował „crack do Photoshopa”.
• Złośliwe rozszerzenia. W lipcu 2025 r. Koi Security znalazł 18 wtyczek w sklepach Chrome i Edge (kolory, VPN, emoji, „dark mode”), zainstalowanych 2,3 mln razy, które po cichu dostały złośliwą aktualizację. Pół roku wcześniej phishing na deweloperów wtyczek skompromitował kilkadziesiąt rozszerzeń u ok. 2,6 mln użytkowników. Silnik nie ma tu nic do rzeczy: wtyczka ma oficjalne uprawnienia do czytania każdej strony.
• Phishing i ClickFix, czyli strona, która każe wkleić coś w terminal. Działa identycznie w Safari, Chrome i Firefoksie, bo atakuje człowieka.

Lekcja nr 6: wybór silnika decyduje o tym, czy ktoś przejmie Twój komputer bez Twojej pomocy. O tym, czy przejmie go z Twoją pomocą, decydują polityki: zakaz zapisywania haseł w przeglądarce (menedżer haseł), biała lista wtyczek i MFA, którego nie da się ukraść z ciasteczka.

Siedem praw bezpieczeństwa przeglądarek (wersja 2026)

1. Nie wybierasz przeglądarki, wybierasz silnik i zegarek. Blink, WebKit albo Gecko – i kto Ci dowozi łatki.
2. Przeglądarka sprzed miesiąca to przeglądarka z kompletem tegorocznych zero-dayów. Automatyczne aktualizacje plus wymuszony restart to obowiązek, nie opcja.
3. Liczba CVE mierzy audyt, nie dziurawość. 429 łatek w Chrome 149 to dobra wiadomość.
4. Zero-day w Chrome to zero-day w Edge, Operze, Brave i Teamsach. Sprawdź, kiedy Twój producent go dowiózł.
5. Jeśli jesteś celem spyware, używaj trybu wzmocnionego (Lockdown Mode w Safari, Enhanced Protection w Chrome, Edge z wyłączonym JIT) i licz się z tym, że strony mogą działać gorzej.
6. Wtyczki to kod z uprawnieniami do wszystkiego. W firmie: biała lista albo nic.
7. Hasła w przeglądarce to prezent dla infostealera. Menedżer haseł i MFA odporne na phishing (klucze/passkeys), bo tych nie da się wynieść w logu.

Podsumowanie: co bym wybrał

Jako pentester, nie jako fan żadnego logo:

• Firma, stacje zarządzane: Chrome lub Edge z politykami aktualizacji – najlepiej przebadany silnik, najszybsze łatki, najwięcej narzędzi do zarządzania. Firefox ESR, jeśli zależy Ci na drugim silniku w organizacji.
• Prywatność i „mniejszy cel”: Firefox – z pełną świadomością, że na niektórych platformach jego sandbox jest mniej dojrzały niż Chromium i że Mozilla ma ułamek budżetu Google. Brave, jeśli chcesz blokowania śledzenia na silniku Chromium.
• Ekosystem Apple: Safari, bo i tak nie masz innego silnika na iPhonie. Dla osób wysokiego ryzyka: Lockdown Mode.
• Czego unikać: przeglądarek, które spóźniają się z łatkami Chromium, wszystkiego po końcu wsparcia i każdej przeglądarki, w której trzymasz hasła bez MFA.

Najważniejsze: nie ma rankingu „najbezpieczniejsza przeglądarka 2026″, który przetrwałby tydzień. Jest rytm: silnik, łatki, polityki, ludzie. Jeśli chcesz sprawdzić, jak ten rytm wygląda u Ciebie – od wersji przeglądarek na stacjach po to, czy loginy Twoich pracowników nie krążą już w logach infostealerów – to dokładnie ten rodzaj rzeczy, który sprawdzam w ramach testów bezpieczeństwa. Wycenę zrobisz sobie sam w kalkulatorze. ✔️

Źródła

• StatCounter Global Stats – Browser Market Share (sierpień/wrzesień 2026)
• Google Threat Intelligence Group – Look What You Made Us Patch: 2025 Zero-Days in Review
• BleepingComputer – Google patches seventh Chrome zero-day exploited in attacks this year (IX 2026)
• BleepingComputer – Google says AI helped Chrome fix 1,072 security bugs in two releases
• SecurityWeek – Chrome 149 Patches 429 Vulnerabilities
• Project Zero – A walk through Project Zero metrics
• Google Security Blog – An update on Chrome Security Updates (weekly)
• Chromium Projects – Memory safety
• SecurityWeek – Google Paid Out $17 Million in Bug Bounty Rewards in 2025
• Security Affairs – Apple doubles maximum bug bounty to $2M
• The Hacker News – Apple Issues Security Updates After Two WebKit Flaws Found Exploited in the Wild
• TechRepublic – Apple’s 2026 Security Events (DarkSword, Background Security Improvements)
• Mozilla Security Blog – Firefox Security Response to pwn2own 2025
• SecurityWeek – Firefox Affected by Flaw Similar to Chrome Zero-Day Exploited in Russia
• Mozilla – Bug Bounty Hall of Fame
• ZDI – Pwn2Own Berlin 2025: Day Three Results
• ZDI – Pwn2Own Berlin 2026: Day Two Results
• Intego – 2nd Chrome zero-day patched in 5 days (opóźnienia Opery)
• Cyber Security News – Microsoft Edge Fixes Actively Exploited Chromium Vulnerability (CVE-2025-6554)
• stack.watch – Chrome, Firefox, Safari – liczba CVE wg roku (NVD)
• SecurityWeek – Infostealers Turn Millions of Devices Into Credential Theft Machines (Flashpoint)
• BleepingComputer – Malicious Chrome extensions with 1.7M installs found on Web Store (Koi Security)
• Wikipedia – Opera (company) oraz SEC Schedule 13D/A, Opera Ltd (2026)