Chrome Stable-update verhelpt acht kwetsbaarheden, meerdere maken code-uitvoering mogelijk

Overzicht van de verholpen kwetsbaarheden

De update van Google's Chrome Stable-kanaal verhelpt acht afzonderlijke CVE's: CVE-2026-87654 (buffer overflow in ANGLE, specifiek voor Windows), CVE-2026-87638 (out-of-bounds write in Media), CVE-2026-87547 (onjuiste referentie-resolutie in FileSystem), CVE-2026-87474 (use-after-free in Payments), CVE-2026-87613 (onjuiste referentie-resolutie in Extensions), CVE-2026-87612 (type confusion in V8), CVE-2026-87542 (use-after-free in Input) en CVE-2026-87433 (race condition in FileAPI). Verschillende hiervan worden door Chromium's interne ernstclassificatie als 'High' beoordeeld, andere als 'Medium'.

Onderliggende oorzaken verschillen per component

De kwetsbaarheden komen voort uit verschillende typen zwakheden: buffer overflow (CWE-122) bij CVE-2026-87654; out-of-bounds write (CWE-787) bij CVE-2026-87638; onjuiste referentie-resolutie (CWE-706) bij zowel CVE-2026-87547 als CVE-2026-87613; use-after-free (CWE-416) bij zowel CVE-2026-87474 als CVE-2026-87542; type confusion (CWE-843) bij CVE-2026-87612; en een race condition (CWE-367) bij CVE-2026-87433. De meeste beschrijvingen vermelden misbruik via een geprepareerde HTML-pagina; CVE-2026-87613 vermeldt in plaats daarvan geprepareerd netwerkverkeer.

Risico op sandbox-ontsnapping en code-uitvoering

Meerdere kwetsbaarheden (CVE-2026-87654, CVE-2026-87638, CVE-2026-87547, CVE-2026-87474, CVE-2026-87613) worden beschreven als mogelijkheid voor een aanvaller op afstand om willekeurige code uit te voeren buiten de Chrome-sandbox, wat een aanzienlijke aantasting van het onderliggende systeem zou betekenen, verder dan alleen het browserproces. CVE-2026-87612 en CVE-2026-87542 beschrijven code-uitvoering binnen de sandbox, wat een kleinere maar nog altijd ernstige impact heeft. CVE-2026-87433 beschrijft een omzeiling van site-isolatie die eerst een gecompromitteerd renderer-proces vereist, waardoor het eerder een vervolgstap is dan een initiële toegangsweg.

Getroffen gebruikers

Alle gebruikers die Google Chrome voor desktop gebruiken in een versie ouder dan 153.0.8010.36 zijn getroffen. CVE-2026-87654 wordt specifiek vermeld als van toepassing op de Windows-build van Chrome; de overige zeven kwetsbaarheden worden in de beschikbare gegevens niet als platformspecifiek omschreven.

Getroffen en gerepareerde versies

Alle acht kwetsbaarheden treffen Google Chrome-versies ouder dan 153.0.8010.36. Een exacte ondergrens van getroffen versies wordt in de beschikbare gegevens niet vermeld. De fix voor alle acht problemen is opgenomen in Chrome 153.0.8010.36.

Fix beschikbaar

Google heeft Chrome 153.0.8010.36 voor desktop uitgebracht, waarin alle acht in deze briefing beschreven kwetsbaarheden zijn verholpen. Er wordt geen workaround vermeld; bijwerken naar de gerepareerde versie is het door de leverancier bevestigde herstelpad.

Aanbevolen actie

Werk Google Chrome zo snel mogelijk bij naar versie 153.0.8010.36 of hoger. Chrome werkt doorgaans automatisch bij na een herstart, maar beheerders die browsers op meerdere systemen beheren, doen er goed aan te controleren of de update is doorgevoerd, zeker gezien het aantal als 'High' geclassificeerde problemen in deze release.