Google heeft eerder deze week ten onrechte gemeld dat een actief aangevallen kwetsbaarheid in Chrome was verholpen, en heeft nu een nieuwe update uitgerold om gebruikers te beschermen. Op 12 maart waarschuwde Google voor twee beveiligingslekken die bij aanvallen tegen Chrome-gebruikers waren ingezet, zonder details over de aanvallen zelf te geven. Het gaat om CVE-2026-3909 en CVE-2026-3910.
De beveiligingslekken zijn aanwezig in de Skia- en V8-onderdelen van de browser. Chrome gebruikt de Skia graphics engine voor het weergeven van tekst en afbeeldingen. V8 is de JavaScript-engine die Chrome en andere browsers gebruiken voor het uitvoeren van JavaScript. In beide onderdelen zijn herhaaldelijk beveiligingslekken gevonden die al voor het beschikbaar komen van updates werden misbruikt bij aanvallen.
De impact van beide kwetsbaarheden is door Chrome beoordeeld als 'high'. Bij kwetsbaarheden met het stempel 'high' kan een aanvaller in het ergste geval code binnen de context van de browser uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Dit soort lekken zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem.
Google meldde eerst dat beide kwetsbaarheden waren verholpen in Chrome 146.0.7680.75/76 voor Windows en macOS en Chrome 146.0.7680.75 voor Linux. In een update van het beveiligingsbulletin laat Google nu weten dat dit niet klopt en deze versies alleen CVE-2026-3910 verhelpen. CVE-2026-3909 is gepatcht in Chrome 146.0.7680.80 voor Windows en macOS and Chrome 146.0.7680.80 voor Linux.
Updaten zal op de meeste systemen automatisch gebeuren. Dit kan in het geval van kwetsbaarheden met het stempel 'high' echter tot zestig dagen duren. Gebruikers die de update direct willen ontvangen zullen dan ook een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Digital Designer
Ben jij een Grafisch vormgever, UI/UX-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, en op zoek naar een unieke en uitdagende baan waar je al je creativiteit in kwijt kan? Dan ben je bij Certified Secure aan het juiste adres! Je werkt samen met onze security developers aan onze Gamified Cybersecurity Challenges.
