Chrome Stable-update verhelpt acht kwetsbaarheden met hoge ernst

Wat is er gebeurd

Google heeft een Chrome Stable Channel-update voor desktop gepubliceerd waarmee de browser wordt bijgewerkt naar versie 153.0.8010.47. Deze release verhelpt acht afzonderlijke kwetsbaarheden, geïdentificeerd als CVE-2026-91748, CVE-2026-91743, CVE-2026-91735, CVE-2026-91733, CVE-2026-91724, CVE-2026-91712, CVE-2026-91732 en CVE-2026-91719. De problemen bevinden zich in verschillende onderdelen van de browser: Extensions (twee race conditions, waarvan één specifiek voor Mac), Core, WebUI, Skia (de grafische bibliotheek), Input-afhandeling en het AppManifest-onderdeel, plus een XML-gerelateerd code-injectieprobleem.

Technische oorzaken

De kwetsbaarheden hebben verschillende onderliggende oorzaken. CVE-2026-91748 en CVE-2026-91712 zijn race conditions (CWE-367) in het Extensions-onderdeel op Mac. CVE-2026-91743 is een race condition (CWE-367) in Chrome's Core-onderdeel. CVE-2026-91735 betreft onjuiste autorisatie (CWE-863) in WebUI. CVE-2026-91733 betreft onjuiste statusvalidatie (CWE-754) in Skia, Chrome's grafische renderbibliotheek, waardoor geheugen buiten de sandbox gelezen kan worden. CVE-2026-91724 is een use-after-free (CWE-416) in de Input-afhandeling. CVE-2026-91732 betreft ontbrekende autorisatie (CWE-862) in AppManifest. CVE-2026-91719 is een code-injectieprobleem (CWE-94) gerelateerd aan XML-verwerking. De meeste van deze kwetsbaarheden vereisen dat een aanvaller al een renderer-proces heeft gecompromitteerd, en verschillende vereisen daarnaast gebruikersinteractie of social engineering om verder te worden misbruikt.

Waarom dit belangrijk is

Verschillende van deze kwetsbaarheden stellen een aanvaller die al Chrome's renderer-proces heeft gecompromitteerd in staat om verder te escaleren en willekeurige code buiten de sandbox uit te voeren — de belangrijkste beveiligingsgrens die de rest van het systeem beschermt tegen kwaadaardige webinhoud. Dit potentieel om kwetsbaarheden te combineren maakt ze significant, ook al vereist elke afzonderlijke kwetsbaarheid eerst een gecompromitteerd renderer-proces als voorwaarde. CVE-2026-91733 wijkt af doordat het alleen geheugen buiten de sandbox laat lezen, niet codeuitvoering mogelijk maakt. CVE-2026-91732 en CVE-2026-91719 betreffen het omzeilen van het web origin policy-mechanisme, een kernbeveiligingsmaatregel die inhoud van verschillende websites van elkaar isoleert.

Wie wordt getroffen

Alle gebruikers die Google Chrome op desktop draaien met een versie ouder dan 153.0.8010.47 worden getroffen. Twee van de acht kwetsbaarheden (CVE-2026-91748 en CVE-2026-91712) betreffen specifiek het Extensions-onderdeel in de Mac-versie van Chrome.

Getroffen versies

Chrome-versies ouder dan 153.0.8010.47 zijn getroffen door deze kwetsbaarheden. Het factpakket specificeert niet de exacte versiereeksen waarin elke kwetsbaarheid is geïntroduceerd.

Fixes en mitigatie

Google heeft alle acht kwetsbaarheden verholpen in Chrome 153.0.8010.47 voor desktop. Chrome werkt doorgaans automatisch bij; gebruikers en beheerders dienen te controleren of hun installatie is bijgewerkt naar deze versie en de browser opnieuw op te starten indien daarom wordt gevraagd.

Aanbevolen actie

Werk Google Chrome zo snel mogelijk bij naar versie 153.0.8010.47 of hoger. Controleer op de pagina 'Over Chrome' of de update is toegepast en start de browser opnieuw op om de update te voltooien. Dit factpakket bevat geen aanwijzingen dat een van deze kwetsbaarheden actief wordt misbruikt, maar gezien het potentieel voor sandbox-ontsnapping wordt snelle patching aangeraden.