Chrome-update verhelpt vijf kwetsbaarheden, waaronder twee use-after-free-bugs die sandbox-ontsnapping mogelijk maken

Wat is er gebeurd

Google heeft een Stable Channel-update voor Chrome op desktop uitgebracht die vijf afzonderlijke kwetsbaarheden verhelpt. Twee daarvan zijn use-after-free-fouten die door Chromium als Hoog zijn beoordeeld: één in de Media-component (CVE-2026-106318), te bereiken via een geprepareerde HTML-pagina, en één in de PDF-component (CVE-2026-106204), te bereiken via een geprepareerd PDF-bestand. Beide konden een aanvaller op afstand in staat stellen willekeurige code binnen de sandbox van Chrome uit te voeren. Een derde use-after-free in de CSS-component (CVE-2026-106269), beoordeeld als Laag, kon eveneens sandbox-codeuitvoering mogelijk maken via een geprepareerde HTML-pagina. Daarnaast kon een informatielek in de Payments-component (CVE-2026-106334, Laag) gevoelige informatie blootleggen via een geprepareerde HTML-pagina in combinatie met social engineering, en kon een ontbrekende autorisatiecontrole in Chrome Mobile op iOS (CVE-2026-106387, Middel) eveneens gevoelige informatie blootleggen via social engineering en een geprepareerde HTML-pagina.

Technische oorzaak

Drie van de vijf problemen (CVE-2026-106318, CVE-2026-106204, CVE-2026-106269) zijn geclassificeerd als use-after-free (CWE-416), een geheugenfout waarbij een programma blijft verwijzen naar geheugen dat al is vrijgegeven. Dit kan worden misbruikt om willekeurige code binnen de browser-sandbox uit te voeren. CVE-2026-106334 is geclassificeerd als een informatielek (CWE-200), waarbij gevoelige gegevens worden blootgesteld aan een niet-geautoriseerde partij. CVE-2026-106387 is geclassificeerd als een ontbrekende autorisatiecontrole (CWE-862), waarbij verwachte toegangscontroles niet werden afgedwongen, wat blootstelling van informatie op het iOS Chrome Mobile-platform mogelijk maakte.

Waarom dit relevant is

De twee als Hoog beoordeelde use-after-free-kwetsbaarheden (CVE-2026-106318 en CVE-2026-106204) zijn het meest significant in deze reeks: succesvol misbruik zou een aanvaller in staat kunnen stellen willekeurige code binnen de sandbox van Chrome uit te voeren, simpelweg door een gebruiker een geprepareerde HTML-pagina te laten bekijken of een geprepareerd PDF-bestand te laten openen. Hoewel de sandbox de directe impact beperkt, worden dit soort codeuitvoeringskwetsbaarheden in de praktijk vaak gecombineerd met sandbox-ontsnappingsbugs. De overige problemen (informatielek en ontbrekende autorisatie) hebben lagere door Chromium toegekende ernstniveaus, maar betreffen nog steeds blootstelling van gevoelige informatie en vereisen doorgaans een vorm van social engineering om te slagen.

Wie wordt getroffen

Alle gebruikers die Google Chrome op desktop draaien vóór versie 155.0.8059.39 worden getroffen door CVE-2026-106334, CVE-2026-106204, CVE-2026-106269 en CVE-2026-106318. CVE-2026-106387 treft specifiek Google Chrome Mobile op iOS vóór dezelfde gerepareerde versie.

Getroffen versies

Google Chrome-versies vóór 155.0.8059.39 zijn getroffen door alle vijf de kwetsbaarheden uit deze update.

Oplossingen en mitigatie

Google heeft versie 155.0.8059.39 van Chrome voor desktop uitgebracht, die alle vijf de in dit advies beschreven kwetsbaarheden verhelpt. Chrome werkt doorgaans automatisch bij; gebruikers en beheerders dienen te controleren of de browser is bijgewerkt naar deze versie of nieuwer via het ingebouwde updatemechanisme (chrome://settings/help).

Aanbevolen actie

Controleer of Google Chrome op alle desktop- en iOS-apparaten binnen uw omgeving is bijgewerkt naar versie 155.0.8059.39 of nieuwer. Herstart de browser als er een update in afwachting is, aangezien Chrome-updates pas worden toegepast na een herstart. Organisaties die Chrome via bedrijfsbeleid beheren, dienen te verifiëren dat de update is doorgevoerd naar alle beheerde apparaten.