CVE-2026-10968: Datalæk-fejl i Chromes Dawn-komponent
Fejl i Chromes Dawn-komponent kan lække data fra andre websites til angribere. Opdatér til Chrome 149.0.7827.53.
Hvad er det?
CVE-2026-10968 er en fejl i Dawn, den del af Google Chrome der styrer avancerede grafikberegninger i browseren via en teknologi kaldet WebGPU. Fejlen består i, at Chrome ikke kontrollerer data godt nok, når de kommer fra en kilde, browseren normalt ikke bør stole på. Det giver en angriber, der allerede har fået fodfæste i browserens visningsproces, mulighed for at hente data fra andre websites, end det den aktuelle side burde have adgang til, ved hjælp af en særligt udformet HTML-side. Fejlen kræver altså, at angriberen først har fået adgang et andet sted i browseren, og bliver derfor typisk brugt som et led i en kæde af flere sårbarheder.
Hvem rammer det?
Sårbarheden findes i Google Chrome på Windows i versioner ældre end 149.0.7827.53. Det rammer alle danske virksomheder og kommuner, der bruger Chrome på Windows-arbejdsstationer, herunder også Chromium-baserede browsere som Microsoft Edge, hvis de bygger på samme svage komponent. Det er ikke afhængigt af, hvilken hjemmeside medarbejderen besøger til daglig, men af browserversionen.
Hvad kan ske?
Hvis en medarbejder besøger en forberedt side, og angriberen samtidig har udnyttet en anden svaghed til at overtage browserens visningsproces, kan angriberen læse data, der egentlig hører til en anden fane eller et andet website, for eksempel loginoplysninger, sessionsdata eller indhold fra en netbank. I praksis kræver det, at to sårbarheder udnyttes i sammenhæng, men konsekvensen kan være tab af fortrolige oplysninger fra medarbejderens browsersession.
Hvor alvorligt er det?
CVSS-score er 7,4 ud af 10, alvorlig. Angrebet kan udføres over internettet uden login, men kræver, at medarbejderen aktivt åbner en forberedt side, og at angriberen allerede har kompromitteret browserens visningsproces via en anden fejl. Der er ingen kendte tegn på, at fejlen bliver udnyttet i praksis på offentliggørelsesdatoen, men det er en type fejl, der historisk bliver brugt i angrebskæder mod browsere.
Hvad gør jeg nu?
Chrome opdaterer normalt sig selv, men det kræver, at browseren bliver genstartet for at aktivere opdateringen.
- Opdatér Google Chrome til version 149.0.7827.53 eller nyere på alle Windows-maskiner, og bed medarbejdere genstarte browseren.
- Kontrollér, om jeres virksomhed bruger Microsoft Edge eller andre Chromium-baserede browsere, og opdatér også disse.
- Brug central styring, for eksempel Google Admin Console eller gruppepolitik, til at gennemtvinge opdateringen på alle enheder i stedet for at vente på enkelte brugere.
- Undersøg, om jeres antivirus eller EDR-løsning har logget mistænkelig browseraktivitet, hvis I har mistanke om, at nogen allerede er ramt.
- Kontakt Auroa, hvis I har mange enheder, der ikke opdaterer automatisk, eller hvis I mangler overblik over jeres browserversioner.
Opdatér inden for en uge
Vi anbefaler, at I sikrer, at Chrome opdaterer sig selv automatisk, og at I tjekker versionsnummeret på jeres mest kritiske arbejdsstationer inden for den kommende uge. Fejlen kræver, at angriberen allerede har fået adgang et andet sted i browseren, så risikoen for de fleste virksomheder er moderat, og det er i orden at lade den almindelige opdateringscyklus løbe, så længe automatisk opdatering er aktiveret. Har I derimod maskiner, der sjældent genstartes eller opdateres manuelt, bør I prioritere dem nu.
Tidslinje
Konkrete eksempler
Medarbejder besøger forberedt side i økonomiafdelingen
En medarbejder i en dansk mellemstor virksomhed klikker på et link i en e-mail, der fører til en forberedt side. Angriberen har allerede kompromitteret browserens visningsproces via en anden svaghed og udnytter Dawn-fejlen til at læse data fra en anden fane, hvor medarbejderen er logget ind på virksomhedens netbank. Havde browseren været opdateret, ville dette led i angrebet være blokeret.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
Hvis I bruger Google Chrome på Windows i en version ældre end 149.0.7827.53, er I ramt. Tjek versionen under Chrome-menuen, punktet Om Google Chrome.
Kan vi vente til weekenden med at opdatere?
Ja, hvis automatisk opdatering er slået til og browseren bliver genstartet regelmæssigt. Er automatisk opdatering deaktiveret, bør I opdatere inden for få dage, da fejlen kan bruges i en angrebskæde.
Kræver fejlen, at vi klikker på noget?
Ja, medarbejderen skal besøge en forberedt side, og angriberen skal samtidig have kompromitteret browserens visningsproces via en anden fejl. Det gør angrebet mere komplekst end et rent besøg på en skadelig side.
Påvirker det også Microsoft Edge?
Edge bygger på samme Chromium-motor som Chrome, så tilsvarende fejl optræder ofte der også. Tjek Edges versionsoplysninger og opdatér efter samme princip.
Skal vi anmelde noget til myndighederne?
Der er ikke krav om anmeldelse alene ved at være potentielt ramt af sårbarheden. Har I konkrete tegn på, at data er blevet lækket, bør I følge jeres normale procedure for sikkerhedsbrud, herunder eventuel underretning til Datatilsynet.
Hvordan tjekker vi Chrome-versionen på mange maskiner samtidig?
Brug jeres eksisterende enhedsstyring, for eksempel Google Admin Console, Microsoft Intune eller gruppepolitik, til at få et samlet overblik over browserversioner på tværs af virksomheden.
Ramte produkter
Google: Chrome
< 149.0.7827.53
Microsoft: Windows
–
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Insufficient validation of untrusted input in Dawn in Google Chrome on Windows prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to leak cross-origin data via a crafted HTML page. (Chromium security severity: High)
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.