Google Chrome dicht acht ernstige kwetsbaarheden in twee stabiele updates

Acht kwetsbaarheden verholpen in twee Chrome-updates

Google publiceerde twee Stable-updates voor Chrome op desktop: één op 29 september 2026 (met een fix voor CVE-2026-102316, CVE-2026-102309, CVE-2026-102331, CVE-2026-102304 en CVE-2026-102306, opgelost in versie 154.0.8037.92) en één op 2 oktober 2026 (met een fix voor CVE-2026-103630, CVE-2026-103626 en CVE-2026-103628, opgelost in versie 154.0.8037.97). Van alle acht kwetsbaarheden wordt beschreven dat ze een aanvaller op afstand in staat stellen, of mogelijk in staat stellen, willekeurige code buiten de sandbox uit te voeren via een geprepareerde HTML-pagina.

Combinatie van geheugenfouten en een autorisatieprobleem

Zes van de acht problemen zijn use-after-free-kwetsbaarheden (CWE-416) in de componenten FedCM (CVE-2026-103630), Views (CVE-2026-102316), FullScreen (CVE-2026-102309), Passwords (CVE-2026-102304) en Bluetooth (CVE-2026-102306). Eén is een buffer overflow (CWE-122) in ANGLE op Android (CVE-2026-102331), één is een out-of-bounds write (CWE-787) in WebGL (CVE-2026-103628), en één is een onjuiste autorisatie (CWE-863) in het FileSystem-onderdeel op Windows (CVE-2026-103626). Alle acht delen dezelfde CVSS-vector: aanvalbaar via het netwerk, lage aanvalscomplexiteit, geen privileges vereist, wel gebruikersinteractie vereist, en een scope-wijziging met grote impact op vertrouwelijkheid, integriteit en beschikbaarheid.

Risico op het omzeilen van de sandbox en codeuitvoering

Elke kwetsbaarheid heeft een CVSS-basisscore van 9,6, wat de potentiële ernst weergeeft bij succesvolle uitbuiting: een geslaagde aanval zou een externe partij in staat kunnen stellen willekeurige code uit te voeren buiten de sandboxbeveiliging van Chrome, die bedoeld is om de impact van een gecompromitteerde renderer of webpagina te beperken. Bij meerdere beschrijvingen wordt vermeld dat uitbuiting social engineering vereist (CVE-2026-102316, CVE-2026-103626) of algemene gebruikersinteractie (het laden van een geprepareerde HTML-pagina), wat het praktische risico verlaagt maar niet wegneemt. Geen van de acht kwetsbaarheden staat momenteel bekend als actief misbruikt, en er is geen publiek beschikbare exploitcode gemeld in het feitenpakket.

Chrome-gebruikers op desktop en Android

Het getroffen product is Google Chrome. De meeste verholpen problemen gelden breed voor Chrome; CVE-2026-103626 betreft specifiek Chrome op Windows, en CVE-2026-102331 betreft specifiek Chrome op Android. Voor de overige kwetsbaarheden wordt in de beschikbare beschrijvingen geen platformbeperking vermeld.

Versies vóór de fixes

Chrome-versies vóór 154.0.8037.92 zijn getroffen door CVE-2026-102316, CVE-2026-102309, CVE-2026-102331, CVE-2026-102304 en CVE-2026-102306. Chrome-versies vóór 154.0.8037.97 zijn getroffen door CVE-2026-103630, CVE-2026-103626 en CVE-2026-103628.

Verholpen in Chrome 154.0.8037.92 en 154.0.8037.97

Google verhielp vijf van de kwetsbaarheden in Chrome-versie 154.0.8037.92 en de overige drie in versie 154.0.8037.97, beide uitgebracht via het Stable-kanaal voor desktop. In de beschikbare bronnen wordt geen andere mitigatie beschreven dan het updaten van de browser.

Update Chrome direct

Sitebeheerders en gebruikers wordt aangeraden Google Chrome bij te werken naar minimaal versie 154.0.8037.97, waarin de fixes uit beide in dit bericht behandelde Stable-releases zijn opgenomen. Chrome werkt doorgaans automatisch bij, maar beheerders dienen de geïnstalleerde versie binnen beheerde omgevingen te controleren, met name op Windows- en Android-eindpunten waarnaar in de platformspecifieke advisories wordt verwezen.