Google Chrome 153.0.8010.36 verhelpt acht ernstige geheugenkwetsbaarheden

Wat is er gebeurd

Google heeft Chrome 153.0.8010.36 uitgebracht voor desktop (met een bijbehorende fix voor iOS) om acht afzonderlijke geheugengerelateerde kwetsbaarheden in de browser te verhelpen: CVE-2026-87609 (use-after-free in Sharing, iOS), CVE-2026-87529 (numerieke afkappingsfout in Media), CVE-2026-87607 (use-after-free in Device, Mac), CVE-2026-87500 (onjuiste validatie van een array-index in ANGLE), CVE-2026-87464 (use-after-free in WebGL, door Chromium als Critical beoordeeld), CVE-2026-87650 (out-of-bounds read in WebGL), CVE-2026-87455 (use-after-free in Aura), en CVE-2026-87526 (use-after-free in Passwords, waarvoor social engineering en UI-interactie nodig zijn). Alle problemen zijn openbaar gemaakt en verholpen in dezelfde releaseronde van de leverancier.

Technische oorzaak

De kwetsbaarheden komen voort uit verschillende geheugengerelateerde zwakheden: use-after-free-situaties (CWE-416) in de componenten Sharing, Device, WebGL, Aura en Passwords; een numerieke afkappingsfout (CWE-197) in Media; onjuiste validatie van een array-index (CWE-129) in ANGLE; en een out-of-bounds read (CWE-125) in WebGL. Elk van deze fouten kon, onder de juiste omstandigheden, een aanvaller op afstand in staat stellen willekeurige code uit te voeren buiten de beveiligingssandbox van Chrome.

Waarom dit belangrijk is

Alle acht problemen hebben een CVSS-basisscore van 9.6, wat duidt op een netwerk-aanvalsvector, lage aanvalscomplexiteit, geen vereiste rechten, en een hoge impact op vertrouwelijkheid, integriteit en beschikbaarheid bij misbruik. De meeste vereisen dat het slachtoffer een geprepareerde HTML-pagina bezoekt; CVE-2026-87526 vereist daarnaast social engineering en UI-interactie, en CVE-2026-87609 wordt juist getriggerd via geprepareerd netwerkverkeer in plaats van een webpagina. Chromium's eigen ernstclassificaties variëren van Medium tot Critical, waarbij CVE-2026-87464 (use-after-free in WebGL) als Critical is beoordeeld. Er zijn geen aanwijzingen gerapporteerd voor actieve misbruik of openbaar beschikbare exploitcode voor een van deze problemen.

Wie wordt getroffen

Gebruikers en organisaties die Google Chrome op desktop draaien, ouder dan versie 153.0.8010.36, worden getroffen door de meeste van deze problemen. CVE-2026-87609 treft specifiek Chrome op iOS ouder dan dezelfde versie, en CVE-2026-87607 treft specifiek Chrome op Mac ouder dan dezelfde versie. Gezien de zeer brede installatiebasis van Chrome is de praktische blootstelling aanzienlijk, zowel bij consumenten als in zakelijke omgevingen.

Ontdekking en tijdlijn

Google publiceerde de aankondiging van de Stable Channel-update op 08-09-2026, waarna de bijbehorende CVE-registraties op 09-09-2026 in NVD verschenen. Het feitenpakket noemt geen individuele onderzoekers en kent geen eer toe aan een ontdekker, dus wordt hier geen toeschrijving gedaan.

Getroffen versies

Alle acht kwetsbaarheden treffen Google Chrome-versies ouder dan 153.0.8010.36. Dit is de enige vaste versie die in alle leveranciers- en databasebronnen voor deze release wordt genoemd.

Fixes en mitigatie

Google heeft voor alle acht kwetsbaarheden een oplossing uitgebracht in Chrome versie 153.0.8010.36. In het beschikbare bronmateriaal worden geen tijdelijke workarounds of andere mitigaties beschreven buiten het updaten naar deze versie.

Aanbevolen actie

Werk Google Chrome zo snel mogelijk bij naar versie 153.0.8010.36 of nieuwer. Chrome werkt doorgaans automatisch bij na een herstart, maar beheerders die apparaatparken beheren moeten controleren of de update is toegepast, met name bij macOS- en iOS-installaties waarvoor platformspecifieke fixes zijn opgenomen.