CVE-2026-10971: Kritisk sandkasse-fejl i Chrome på Windows
Kritisk fejl i Google Chromes udskriftsfunktion på Windows kan lade angribere bryde ud af browserens sikkerhedsspærring. Opdatér til 149.0.7827.53.
Hvad er det?
Sårbarheden (CVE-2026-10971) findes i udskriftsfunktionen i Google Chrome på Windows. Fejlen skyldes mangelfuld validering af data udefra, en fejltype kendt som CWE-20. Chrome kører normalt websider i en isoleret proces, en sandkasse, der skal forhindre skadelig kode i at nå resten af computeren. Fejlen gør det muligt for en angriber, der allerede har fået fodfæste i denne isolerede proces, at bryde ud af sandkassen ved hjælp af en særligt udformet HTML-side.
Hvem rammer det?
Sårbarheden rammer Google Chrome på Windows i versioner ældre end 149.0.7827.53. Det gælder alle danske virksomheder og kommuner, der bruger Chrome som browser på Windows-arbejdsstationer, uanset størrelse. Sårbarheden er del af en angrebskæde: den kræver, at angriberen først har kompromitteret Chromes renderer-proces, den del af browseren, der tegner websiden, via en anden fejl.
Hvad kan ske?
Hvis en medarbejder besøger en forberedt hjemmeside eller åbner et link i en phishing-mail, kan en angriber, der allerede har udnyttet en anden fejl i Chrome, bruge denne sårbarhed til at slippe ud af browserens sikkerhedsspærring og få adgang til resten af Windows-computeren. Det kan betyde installation af skadelig kode, adgang til filer, adgangskoder og de netværksressourcer, medarbejderens konto har rettigheder til.
Hvor alvorligt er det?
CVSS-scoren er 9,6 ud af 10, hvilket er kritisk. Angrebet kræver ikke login eller særlige rettigheder, men kræver, at brugeren interagerer, for eksempel ved at besøge en webside. Sårbarheden kræver desuden, at angriberen allerede har kompromitteret Chromes renderer-proces via en anden fejl, så den fungerer som andet led i en angrebskæde. Der er ingen offentlige oplysninger om, at sårbarheden aktivt udnyttes.
Hvad gør jeg nu?
Det vigtigste er at opdatere Chrome til den rettede version. Gør følgende:
- Opdatér Google Chrome til version 149.0.7827.53 eller nyere på alle Windows-computere. Chrome opdaterer normalt automatisk ved genstart af browseren.
- Genstart Chrome på alle enheder, så opdateringen træder i kraft, og bekræft versionen under Hjælp og Om Google Chrome.
- Undersøg om jeres it-drift styrer browseropdateringer centralt via gruppepolitik eller et administrationsværktøj, og sørg for at politikken tvinger opdatering ud på alle enheder.
- Mind medarbejdere om at være opmærksomme på uventede links og vedhæftninger, da sårbarheden i praksis udnyttes via en forberedt webside som andet led i et angreb.
- Kontakt en it-sikkerhedspartner, hvis I har mange enheder, der ikke opdaterer automatisk, eller hvis I mangler overblik over browserversioner i organisationen.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer Chrome på alle Windows-enheder så hurtigt som muligt, og at I bekræfter, at opdateringen er slået igennem. Da sårbarheden kræver et forudgående kompromis af browseren, er den ikke den letteste at udnytte alene, men den bør stadig lukkes, fordi den forhøjer konsekvensen markant, hvis en anden Chrome-fejl først udnyttes. Det er ikke forsvarligt at vente til en planlagt opdateringsrunde, da Chrome-opdateringer normalt er hurtige og uden driftspåvirkning.
Tidslinje
Konkrete eksempler
Medarbejder rammes via forberedt webside
En medarbejder i en dansk virksomhed klikker på et link i en phishing-mail, der fører til en forberedt webside. Websiden udnytter først en anden fejl i Chrome til at få fodfæste i browserens isolerede proces, og bruger derefter denne sårbarhed til at bryde ud af sandkassen og få adgang til resten af computeren. Angriberen kan herefter installere skadelig kode eller stjæle adgangskoder gemt i browseren.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
Hvis jeres medarbejdere bruger Google Chrome på Windows-computere i en version ældre end 149.0.7827.53, er I ramt. Tjek versionen under Chrome-menuen, Hjælp, Om Google Chrome.
Hvordan tjekker vi, om vores Chrome er opdateret?
Åbn Chrome, klik på de tre prikker i øverste hjørne, vælg Hjælp og derefter Om Google Chrome. Browseren viser automatisk, om der er en opdatering, og opdaterer ofte selv ved genstart.
Kan vi vente til weekenden med at opdatere?
Ja, hvis Chrome allerede opdaterer automatisk hos jer, kræver det ingen handling ud over en genstart af browseren. Er automatisk opdatering slået fra, bør I ikke vente, da sårbarheden er kritisk klassificeret.
Skal vi anmelde dette til en myndighed?
Der er ikke pligt til at anmelde en browseropdatering. Opdager I tegn på, at systemer faktisk er blevet kompromitteret via sårbarheden, kan det udløse anmeldepligt efter GDPR eller NIS2, afhængigt af jeres sektor.
Er andre browsere eller styresystemer også ramt?
Sårbarheden er specifik for Google Chrome på Windows. Andre browsere som Edge, der også bygger på Chromium, kan have lignende fejl, men denne konkrete sårbarhed er rapporteret for Chrome på Windows.
Kræver det, at vi gør noget særligt ud over opdatering?
Nej. Når Chrome er opdateret til version 149.0.7827.53 eller nyere, er sårbarheden lukket. Der findes ingen anden løsning eller midlertidig afhjælpning.
Ramte produkter
Google: Chrome
< 149.0.7827.53
Microsoft: Windows
–
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Insufficient validation of untrusted input in Printing in Google Chrome on Windows prior to 149.0.7827.53 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High)
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.