Google heeft een actief aangevallen beveiligingslek in Chrome gedicht. De kwetsbaarheid bevond zich in V8, de JavaScript-engine die Chrome en andere browsers gebruiken voor het uitvoeren van JavaScript. V8 is geregeld het doelwit van aanvallen waarbij misbruik wordt gemaakt van kwetsbaarheden waar op het moment van de aanval geen patch voor beschikbaar is.

De impact van de kwetsbaarheid, aangeduid als CVE-2025-5419, is door Google beoordeeld als high. Het gaat in dit geval om beveiligingslekken waardoor een aanvaller in het ergste geval code binnen de context van de browser kan uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Beveiligingslekken met het stempel "high" zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem.

De kwetsbaarheid werd op 27 mei door twee onderzoekers van de Google Threat Analysis Group aan het Chrome-team gerapporteerd. Deze groep houdt zich bezig met het bestrijden van door overheden gesponsorde en uitgevoerde aanvallen tegen Google en diens gebruikers. Google stelt dat het probleem is verholpen door middel van een configuratieaanpassing die op 28 mei onder gebruikers is uitgerold. Verdere informatie over de kwetsbaarheid, het waargenomen misbruik en de doorgevoerde aanpassing is niet gegeven.