CVE-2026-13774: Alvorlig fejl i Google Chrome-udvidelser

CVE-2026-13774 er en hukommelsesfejl i den del af Google Chrome, der håndterer browserudvidelser. Fejltypen kaldes use after free, hvilket betyder, at programmet forsøger at bruge et stykke hukommelse, som allerede er frigivet igen. Det kan en angriber udnytte til at få egen programkode til at køre på computeren. Fejlen udløses, hvis en bruger narres til at installere en ondsindet udvidelse, som er bygget specifikt til at ramme svagheden. Google beskriver fejlens alvor i Chromium-systemet som kritisk.

Alle udgaver af Google Chrome før version 150.0.7871.47 er sårbare, uanset om computeren kører macOS, Windows eller Linux. Det gælder både medarbejdercomputere, kiosk-pc’er og servere, hvor Chrome bruges som browser. Andre Chromium-baserede browsere som Microsoft Edge og Brave kan være berørt af samme underliggende fejl, indtil de udgiver deres egne opdateringer.

Hvis en medarbejder installerer en udvidelse, der udnytter fejlen, kan angriberen få fuld kontrol over Chrome-processen og potentielt over hele computeren. Det åbner for tyveri af login-oplysninger, adgang til firmamails og dokumenter, samt mulighed for at sprede sig videre til andre systemer på netværket. For en dansk virksomhed betyder det risiko for datatab, driftsstop og i værste fald et startpunkt for et ransomware-angreb.

CVSS-score er 8,1 ud af 10, hvilket klassificeres som alvorligt. Angrebet kræver ikke, at brugeren er logget ind med særlige rettigheder, og selve fejlen kræver ingen yderligere klik, når udvidelsen først er installeret. Til gengæld kræver angrebet, at brugeren aktivt installerer en ondsindet udvidelse, og angriberen skal lykkes med et teknisk komplekst forløb for at udnytte fejlen. Der er ikke rapporteret om aktiv udnyttelse eller offentligt tilgængelig angrebskode på offentliggørelsestidspunktet.

Fejlen er allerede rettet af Google, så den vigtigste handling er at sikre, at alle computere opdateres.

1. Opdatér Google Chrome til version 150.0.7871.47 eller nyere på alle computere, både medarbejder-pc’er og servere.
2. Gennemgå hvilke browserudvidelser der er installeret i virksomheden, og fjern dem, der ikke er nødvendige eller ikke kommer fra en kendt udbyder.
3. Indfør en politik eller teknisk begrænsning, så medarbejdere ikke selv kan installere udvidelser uden godkendelse fra it.
4. Tjek om virksomheden også bruger andre Chromium-baserede browsere som Edge eller Brave, og opdatér dem separat.
5. Informér medarbejdere om ikke at installere udvidelser fra ukendte kilder, uanset hvor troværdige de virker.
6. Kontakt en it-sikkerhedsrådgiver, hvis I har mange enheder, der ikke opdateres centralt, eller hvis I mistænker, at en ondsindet udvidelse allerede er installeret.