Google Chrome dicht zeven ernstige kwetsbaarheden in geheugenbeheer

Zeven geheugenfouten verholpen in twee updates

Google publiceerde in september 2026 twee afzonderlijke updates voor het stabiele kanaal van Chrome Desktop. De eerste, uitgebracht rond 15 september 2026, verhielp vijf kwetsbaarheden in versie 153.0.8010.47: CVE-2026-91711 (out-of-bounds write in ServiceWorker), CVE-2026-91715 (type confusion in ServiceWorker), CVE-2026-91721 (use-after-free in Internals), CVE-2026-91722 (use-after-free in Input) en CVE-2026-91731 (type confusion in Compositing). De tweede update, uitgebracht rond 17 september 2026, verhielp nog twee kwetsbaarheden in versie 153.0.8010.52: CVE-2026-93377 (type confusion in V8) en CVE-2026-93382 (use-after-free in PDFium). Alle zeven adviezen beschrijven misbruik via een speciaal geprepareerde HTML-pagina.

Type confusion, use-after-free en out-of-bounds write

De zeven kwetsbaarheden vallen in drie technische categorieën. Type confusion-problemen (CWE-843) treffen V8 (CVE-2026-93377), ServiceWorker (CVE-2026-91715) en Compositing (CVE-2026-91731), waarbij code een object als een ander, incompatibel type behandelt, wat geheugencorruptie kan veroorzaken. Use-after-free-problemen (CWE-416) treffen PDFium (CVE-2026-93382), Internals (CVE-2026-91721) en Input (CVE-2026-91722), waarbij geheugen wordt benaderd nadat het is vrijgegeven. Een out-of-bounds write-probleem (CWE-787) treft ServiceWorker (CVE-2026-91711), waardoor data buiten de grenzen van toegewezen geheugen kan worden geschreven. Chromium beoordeelde de individuele ernst als High (CVE-2026-93377, CVE-2026-93382, CVE-2026-91715, CVE-2026-91731, CVE-2026-91711), Medium (CVE-2026-91722) en Critical (CVE-2026-91721).

Risico op sandbox-ontsnapping en willekeurige code-uitvoering

De meeste van deze kwetsbaarheden maken willekeurige code-uitvoering binnen de Chrome-sandbox mogelijk via een kwaadaardige HTML-pagina. Twee ervan — CVE-2026-91721 en CVE-2026-91722 — worden omschreven als mogelijk code-uitvoering buiten de sandbox, wat een ernstiger compromittering zou betekenen omdat het systeem buiten de geïsoleerde browseromgeving kan worden getroffen. Bij CVE-2026-93377 wordt bovendien vermeld dat de aanval mogelijk social engineering omvat als onderdeel van de aanvalsketen.

Alle Chrome Desktop-gebruikers op getroffen versies

Deze kwetsbaarheden treffen Google Chrome op desktop vóór de respectieve gepatchte versies. Het feitenpakket specificeert geen bepaalde besturingssystemen of edities, dus deze briefing behandelt het getroffen bereik als Chrome Desktop in algemene zin, conform de releasenotes van de leverancier.

Tijdlijn

De eerste set van vijf kwetsbaarheden (CVE-2026-91711, -91715, -91721, -91722, -91731) werd rond 15 september 2026 gepubliceerd, met de oplossing in versie 153.0.8010.47. De tweede set van twee kwetsbaarheden (CVE-2026-93377, -93382) werd rond 17 september 2026 gepubliceerd, met de oplossing in versie 153.0.8010.52. Het feitenpakket vermeldt geen ontdekker of meldingscredit, en deze briefing schrijft de ontdekking dan ook niet toe aan een persoon of groep.

Getroffen en gepatchte versies

Google Chrome-versies vóór 153.0.8010.47 zijn getroffen door CVE-2026-91711, CVE-2026-91715, CVE-2026-91721, CVE-2026-91722 en CVE-2026-91731; deze zijn verholpen in 153.0.8010.47. Google Chrome-versies vóór 153.0.8010.52 zijn getroffen door CVE-2026-93377 en CVE-2026-93382; deze zijn verholpen in 153.0.8010.52.

Oplossingen beschikbaar via reguliere Chrome-update

Oplossingen voor alle zeven kwetsbaarheden zijn beschikbaar via het reguliere stabiele-kanaal-updatemechanisme van Google Chrome. Gebruikers met een versie ouder dan 153.0.8010.52 wordt aangeraden te updaten, aangezien deze versie oplossingen bevat voor alle zeven hier beschreven problemen (153.0.8010.52 volgt chronologisch op 153.0.8010.47).

Update Chrome nu

Sitebeheerders en ontwikkelaars moeten ervoor zorgen dat Chrome op alle desktopsystemen is bijgewerkt naar versie 153.0.8010.52 of hoger. Chrome werkt doorgaans automatisch bij na een herstart, maar beheerders van grotere machineparken moeten controleren of de update daadwerkelijk is uitgerold, zeker gezien het feit dat meerdere van deze fouten uitvoering van code op afstand mogelijk maken via een webpagina, zonder dat verdere rechten vereist zijn.