Google Chrome: acht kwetsbaarheden met hoge ernst verholpen in twee Stable Channel-updates

Wat is er gebeurd

Google bracht in september 2026 twee afzonderlijke Stable Channel-updates uit voor Chrome op desktop, met in totaal acht verholpen kwetsbaarheden. De eerste update, uitgebracht rond 15 september 2026, verhielp zes problemen in versie 153.0.8010.47: use-after-free-kwetsbaarheden in DigitalCredentials, DOM, pdf-verwerking en V8, en type confusion-problemen in CacheStorage en ServiceWorker. Een tweede update, uitgebracht rond 17 september 2026, verhielp nog twee problemen in versie 153.0.8010.52: een use-after-free in het extensiesysteem en een buffer overflow in PDFium die specifiek Chrome op Windows treft. Alle acht kwetsbaarheden zijn door het Chromium-beveiligingsteam als 'High' geclassificeerd.

Technische oorzaak

Zes van de acht kwetsbaarheden zijn use-after-free-bugs (CWE-416): een geheugenfout waarbij een programma geheugen blijft gebruiken nadat dit is vrijgegeven, wat kan worden misbruikt om door een aanvaller gecontroleerde code uit te voeren. Dit speelt in de onderdelen Extensions (CVE-2026-93373), DigitalCredentials (CVE-2026-91729), DOM (CVE-2026-91736), PDF (CVE-2026-91737) en V8 (CVE-2026-91745). Twee kwetsbaarheden zijn type confusion-bugs (CWE-843) in CacheStorage (CVE-2026-91741) en ServiceWorker (CVE-2026-91709), waarbij code een object als een ander, incompatibel type behandelt, wat eveneens tot geheugencorruptie en code-uitvoering kan leiden. De achtste, CVE-2026-93381, is een buffer overflow (CWE-122) in PDFium, de ingebouwde pdf-renderingbibliotheek van Chrome, specifiek op de Windows-versie van Chrome.

Waarom dit belangrijk is

Een aantal van deze kwetsbaarheden, waaronder de use-after-free in Extensions (CVE-2026-93373) en de use-after-free in DigitalCredentials (CVE-2026-91729), hebben een CVSS-score van 9.6 en maken code-uitvoering buiten de Chrome-sandbox mogelijk. Die sandbox is normaal gesproken de isolatielaag die voorkomt dat een gecompromitteerde webpagina of extensie de rest van het systeem kan beïnvloeden. De overige kwetsbaarheden, met een score van 8.8, maken code-uitvoering binnen de sandbox mogelijk. Ook dat vormt een serieus risico en zou in theorie gecombineerd kunnen worden met een afzonderlijke sandbox-escape-kwetsbaarheid. Misbruik vereist doorgaans dat een gebruiker interactie heeft met geprepareerde content, bijvoorbeeld door een kwaadaardige webpagina te bezoeken, een geprepareerd pdf-bestand te openen of een kwaadaardige extensie te installeren.

Wie wordt getroffen

In potentie zijn alle gebruikers van Google Chrome op desktop getroffen. Eén kwetsbaarheid, CVE-2026-93381, treft specifiek Chrome op Windows; het factpakket vermeldt niet of de overige zeven kwetsbaarheden platformspecifiek zijn of Chrome op alle desktopbesturingssystemen treffen.

Getroffen versies en fixes

Chrome-versies vóór 153.0.8010.47 zijn getroffen door zes van de kwetsbaarheden (CVE-2026-91729, CVE-2026-91736, CVE-2026-91741, CVE-2026-91737, CVE-2026-91745, CVE-2026-91709), die in die versie zijn verholpen. Chrome-versies vóór 153.0.8010.52 zijn getroffen door twee kwetsbaarheden (CVE-2026-93373, CVE-2026-93381), die in die versie zijn verholpen. Het factpakket geeft geen precieze ondergrens aan voor wanneer elke kwetsbaarheid is geïntroduceerd.

Aanbevolen actie

Werk Google Chrome bij naar versie 153.0.8010.47 of hoger om de zes kwetsbaarheden uit die release te verhelpen, en naar versie 153.0.8010.52 of hoger om de resterende twee kwetsbaarheden te verhelpen, waaronder de problemen in Extensions en PDFium. Chrome werkt doorgaans automatisch bij; gebruikers wordt aangeraden de browser opnieuw op te starten om een wachtende update toe te passen en kunnen de geïnstalleerde versie handmatig controleren via het instellingenmenu van de browser.