Chrome Stable-update verhelpt acht beveiligingslekken

Wat is er gebeurd

Google heeft een Stable Channel-update voor Chrome voor desktop uitgebracht die acht afzonderlijke kwetsbaarheden patcht. Het gaat om use-after-free-condities, onjuiste invoervalidatie, incorrecte referentieresolutie, onjuiste outputcodering, onjuiste autorisatie en ontbrekende autorisatie, verspreid over verschillende Chrome-onderdelen (DevTools, Bluetooth, HID, Extensions, Themes, en twee componenten die in de adviezen 'WebProtect' en 'Verifier' worden genoemd). Alle acht problemen zijn tegelijk openbaar gemaakt en in dezelfde release opgelost.

Technische oorzaak

De kwetsbaarheden komen voort uit verschillende onderliggende zwaktes: CWE-416 (use after free) treft de componenten Verifier en Bluetooth (CVE-2026-95354, CVE-2026-95348); CWE-20 (onjuiste invoervalidatie) treft Desktop en Themes (CVE-2026-95341, CVE-2026-95276); CWE-706 (incorrecte referentieresolutie) treft WebProtect (CVE-2026-95334); CWE-116 (onjuiste outputcodering) treft DevTools (CVE-2026-95274); CWE-863 (onjuiste autorisatie) treft HID (CVE-2026-95314); en CWE-862 (ontbrekende autorisatie) treft Extensions (CVE-2026-95301). De meeste van deze problemen vereisen dat een aanvaller het renderer-proces al heeft gecompromitteerd, en misbruik verloopt doorgaans via geprepareerd netwerkverkeer of een geprepareerde HTML-pagina.

Waarom dit relevant is

Verschillende van deze kwetsbaarheden (CVE-2026-95341, CVE-2026-95354, CVE-2026-95274, CVE-2026-95348) worden door Chromium beoordeeld als Medium tot High qua ernst en konden een aanvaller op afstand, nadat deze eerst het renderer-proces had gecompromitteerd, in staat stellen willekeurige code buiten de sandbox van Chrome uit te voeren. Andere, zoals CVE-2026-95314 en CVE-2026-95301, konden leiden tot het omzeilen van systeemtoegangsbeperkingen of site-isolatie — belangrijke beveiligingsmechanismen die niet-vertrouwde webinhoud scheiden van de rest van het systeem en van andere sites. Omdat dit ketens van misbruik betreft die beginnen bij een reeds gecompromitteerde renderer, vormen ze vooral een reëel risico in combinatie met een afzonderlijke exploit op renderer-niveau, maar gezien de brede gebruikersbasis van Chrome is snel patchen alsnog aan te raden.

Wie wordt hierdoor getroffen

Alle gebruikers die Google Chrome voor desktop draaien op een versie ouder dan 154.0.8037.57 worden getroffen. Het advisory specificeert geen bepaalde besturingssystemen, dus deze update dient breed te worden toegepast op alle desktopplatformen die door Chrome Stable worden ondersteund.

Getroffen versies

Chrome-versies vóór 154.0.8037.57 zijn getroffen door deze acht kwetsbaarheden.

Oplossingen en mitigatie

Google heeft alle acht kwetsbaarheden verholpen in Chrome-versie 154.0.8037.57, verspreid via de Stable Channel-update voor desktop. Het advisory vermeldt geen afzonderlijke workarounds of mitigaties; updaten is de enige genoemde oplossing.

Aanbevolen actie

Update Google Chrome zo snel mogelijk naar versie 154.0.8037.57 of hoger. Chrome werkt doorgaans automatisch bij, maar gebruikers en beheerders dienen de geïnstalleerde versie te controleren via de 'Over Chrome'-pagina van de browser en de browser opnieuw te starten om de update toe te passen. Organisaties die Chrome op grote schaal beheren, dienen te verifiëren dat het beleid voor beheerde updates deze versie heeft uitgerold.