CVE-2026-13775: Kritisk fejl i Google Chromes GPU-komponent

CVE-2026-13775 er en use-after-free fejl i GPU-komponenten i Google Chrome. En use-after-free fejl opstår, når et program fortsætter med at bruge et stykke hukommelse, efter det er frigivet, hvilket en angriber kan udnytte til at få programmet til at udføre vilkårlig kode. Fejlen findes i Chrome før version 150.0.7871.47 og gør det muligt for en angriber, der allerede har fået fodfæste i browserens renderer-proces, at bryde ud af Chromes sikkerhedssandkasse ved hjælp af en særligt udformet HTML-side. Sandkassen er den mekanisme, der normalt begrænser, hvad en kompromitteret webside kan gøre på resten af computeren.

Sårbarheden findes i Google Chrome på Windows, macOS og Linux i alle versioner før 150.0.7871.47. Den rammer altså de fleste danske virksomheder, der bruger Chrome som browser på medarbejdernes computere, uanset operativsystem. Chromium-baserede browsere som Microsoft Edge, Brave og Opera kan også være ramt, indtil de udgiver deres egne opdaterede versioner.

Fejlen bruges typisk som sidste led i en kæde af angreb. Først skal en angriber kompromittere Chromes renderer-proces, den del af browseren der viser selve websiden, for eksempel via en anden sårbarhed. Derefter kan denne fejl bruges til at bryde ud af sandkassen og få adgang til resten af computeren med samme rettigheder som den bruger, der er logget ind. I praksis betyder det, at et besøg på en ondsindet eller kompromitteret hjemmeside kan ende med, at angriberen får fuld kontrol over medarbejderens computer og dermed adgang til virksomhedens netværk.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen login-oplysninger og ingen aktiv handling fra brugeren udover at åbne en webside i browseren. Konsekvensen ved udnyttelse er fuld kompromittering af fortrolighed, integritet og tilgængelighed på den ramte computer. Der er ingen oplysninger om, at fejlen er udnyttet i angreb på tidspunktet for offentliggørelsen, men fordi Chrome er så bredt anvendt, forventes det, at angribere hurtigt undersøger muligheden.

Det vigtigste er at få opdateret Chrome på alle computere i organisationen.

1. Opdatér Google Chrome til version 150.0.7871.47 eller nyere på alle computere, servere og administratormaskiner.
2. Kontrollér, om andre Chromium-baserede browsere som Edge, Brave eller Opera bruges i virksomheden, og opdatér dem, når producenterne udgiver rettelser.
3. Brug central styring, for eksempel gruppepolitik eller MDM, til at tvinge browseropdateringer igennem, hvis I ikke allerede gør det.
4. Genstart browseren efter opdatering, da Chrome ofte kræver en genstart for at aktivere sikkerhedsrettelser.
5. Gennemgå logning for usædvanlig browseraktivitet i perioden op til offentliggørelsen, hvis I har mulighed for det.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke har central styring af browseropdateringer eller er i tvivl om, hvor mange computere der er ramt.