Chrome Stable-update verhelpt vijf kwetsbaarheden, waaronder één die actief wordt misbruikt

Wat is er gebeurd

Google heeft een Stable Channel-update voor Chrome op desktop uitgebracht die vijf kwetsbaarheden in verschillende onderdelen van de browser verhelpt. De problemen zitten in V8 (de JavaScript-engine), WebView, mobiele componenten, Extensions en DevTools. Volgens de releasenotes van de leverancier zijn alle fixes opgenomen in Chrome 153.0.8010.36.

Technische oorzaken

De vijf kwetsbaarheden hebben elk een andere technische oorzaak: CVE-2026-87491 is een out-of-bounds write in V8 (CWE-787) waarmee een aanvaller op afstand willekeurige code binnen de sandbox kan uitvoeren via een kwaadaardig geprepareerde HTML-pagina. CVE-2026-87534 betreft een ontbrekende autorisatiecontrole in WebView op Android (CWE-862), waarmee een aanvaller met behulp van social engineering en geprepareerd netwerkverkeer toegangsbeperkingen kan omzeilen. CVE-2026-87595 is een server-side request forgery in mobiele componenten (CWE-918) die, eveneens via social engineering en een geprepareerde HTML-pagina, toegangsbeperkingen kan omzeilen. CVE-2026-87544 is een incorrecte autorisatie in Extensions (CWE-863) waarmee toegang tot een bevoorrechte pagina mogelijk wordt via een geprepareerde HTML-pagina. CVE-2026-87492 is een incorrecte autorisatie in DevTools (CWE-863) die mogelijk code-executie buiten de sandbox mogelijk maakt via een geprepareerde HTML-pagina.

Waarom dit belangrijk is

CVE-2026-87491 wordt gemarkeerd als actief misbruikt, wat betekent dat er bevestigd bewijs is van exploitatie in de praktijk. Deze kwetsbaarheid heeft een CVSS-score van 8.8 en kan een aanvaller op afstand in staat stellen willekeurige code uit te voeren binnen de sandbox van Chrome via een speciaal geprepareerde webpagina, waarbij gebruikersinteractie vereist is (zoals het bezoeken van een kwaadaardige pagina). De overige vier kwetsbaarheden hebben hoge CVSS-scores (9.8 en 9.6), wat wijst op een ernstige potentiële impact op vertrouwelijkheid, integriteit en beschikbaarheid, al zijn ze momenteel niet gemarkeerd als actief misbruikt of voorzien van publiek beschikbare exploitcode. CVE-2026-87492, gerelateerd aan DevTools, is opvallend omdat Chromium de ernst als Hoog beoordeelt en deze kwetsbaarheid mogelijk code-executie buiten de sandbox van de browser toestaat.

Wie wordt getroffen

Gebruikers en organisaties die Google Chrome op desktop gebruiken in een versie ouder dan 153.0.8010.36 worden getroffen door deze kwetsbaarheden. CVE-2026-87534 betreft specifiek het WebView-component van Chrome op Android, waardoor ook Android-implementaties die WebView gebruiken relevant zijn.

Getroffen versies

Alle vijf kwetsbaarheden treffen Google Chrome-versies ouder dan 153.0.8010.36. De releasenotes van de leverancier vermelden geen specifieke beginversie van het getroffen bereik.

Fixes en mitigatie

Google heeft alle vijf kwetsbaarheden verholpen in Chrome-versie 153.0.8010.36, uitgebracht via het Stable Channel voor desktop. In de releasenotes van de leverancier worden geen alternatieve mitigaties of workarounds genoemd; updaten naar de gepatchte versie is de gedocumenteerde oplossing.

Aanbevolen actie

Update Google Chrome zo snel mogelijk naar versie 153.0.8010.36 of hoger. Omdat CVE-2026-87491 actief wordt misbruikt, moet deze update als hoge prioriteit worden behandeld, met name voor desktopgebruikers. Organisaties die Chrome op grote schaal beheren, moeten controleren of automatische updates zijn ingeschakeld of de update zonder vertraging via hun endpoint-managementtools uitrollen.