Google waarschuwt voor een XML-kwetsbaarheid in Chrome waar aanvallers misbruik van maken. Er zijn updates uitgebracht om het probleem te verhelpen. De aanvallen vonden al voor het uitkomen van de patches plaats. Google meldt dat het op 6 november door een externe partij over het beveiligingslek (CVE-2026-125350) werd ingelicht. Het probleem bevindt zich in het XML (Extensible Markup Language)-onderdeel van de browser en kan leiden tot een use-after-free.

Google geeft geen verdere details over het beveiligingslek of de aanvallen. De impact van CVE-2026-125350 is beoordeeld als 'high'. Bij kwetsbaarheden met het stempel high kan een aanvaller in het ergste geval code binnen de context van de browser uitvoeren. Het is dan mogelijk om bijvoorbeeld data van andere websites te lezen of aan te passen en zo gevoelige informatie van gebruikers te stelen.

Kwetsbaarheden om uit de Chrome-sandbox te ontsnappen vallen ook onder het stempel high. Dit soort lekken zijn op zichzelf niet voldoende om een systeem over te nemen. Hiervoor zou een tweede kwetsbaarheid zijn vereist, bijvoorbeeld in het onderliggende besturingssysteem. Bij veel aanvallen waarbij Chrome-lekken worden misbruikt combineren aanvallers twee kwetsbaarheden om zo systemen met malware te infecteren.

Google Chrome 157.0.8103.50/.51 is beschikbaar voor macOS en Windows. Voor Linux is versie 157.0.8103.50 verschenen. Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar.