Google heeft een beveiligingsupdate uitgebracht voor een actief aangevallen kwetsbaarheid in Chrome. Daarnaast zijn meerdere beveiligingslekken verholpen die als kritiek zijn aangemerkt. Het aangevallen lek (CVE-2026-11645) is aanwezig in V8, de JavaScript-engine die Chrome en andere browsers gebruiken voor het uitvoeren van JavaScript. In het onderdeel zijn herhaaldelijk beveiligingslekken gevonden die al voor het beschikbaar komen van updates werden misbruikt bij aanvallen. Sinds wanneer misbruik van CVE-2026-11645 plaatsvindt laat Google niet weten. De kwetsbaarheid werd op 27 april door een externe onderzoeker gerapporteerd, die hiervoor een beloning van 55.000 dollar kreeg.
De impact van de kwetsbaarheid is door Chrome beoordeeld als 'high'. Bij kwetsbaarheden met het stempel 'high' kan een aanvaller in het ergste geval code binnen de context van de browser uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen. Ook kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen hieronder. Dit soort lekken zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem.
Naast de actief aangevallen kwetsbaarheid zijn ook zeventien beveiligingslekken gepatcht met het stempel 'kritiek'. Bij dit soort lekken kan een aanvaller wel in één keer het systeem wel overnemen. Daarbij is alleen het bezoeken van een gehackte of malafide website of te zien krijgen van besmette advertenties voldoende, er is geen verdere interactie van gebruikers vereist. De kritieke kwetsbaarheden bevinden zich in allerlei onderdelen van de browser, waaronder Bluetooth, Autofill, Gamepad, Printing, Web Apps, Views en Proxy.
Google Chrome 149.0.7827.102/.103 is beschikbaar voor macOS en Windows. Voor Linux is versie 149.0.7827.102 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen tot weken duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
TISO Cyber Security Officer
Wil jij bijdragen aan een veilige & veerkrachtige leeromgeving voor studenten, medewerkers & partners binnen de #1 Hospitality Business school van Nederland? En werken in een team van toegewijde professionals en dagelijks kunnen genieten van een heerlijke & gezonde lunch? Lees dan hier verder!
Digital Designer
Ben jij een Grafisch vormgever, UI/UX-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, en op zoek naar een unieke en uitdagende baan waar je al je creativiteit in kwijt kan? Dan ben je bij Certified Secure aan het juiste adres! Je werkt samen met onze security developers aan onze Gamified Cybersecurity Challenges.
