CVE-2026-13776: Kritisk sandbox-fejl i Google Chrome

Dawn er den del af Google Chrome, der styrer WebGPU, en teknik til at lade websider bruge computerens grafikkort. CVE-2026-13776 er en type confusion-fejl i Dawn, hvor koden forveksler en datatype med en anden og derved giver adgang til hukommelse, den ikke burde have. Fejlen gør det muligt for en angriber, der allerede har fået fodfæste i browserens gengivelsesproces (renderer), at bryde ud af Chromes sandbox, den sikkerhedsboks der normalt isolerer websider fra resten af computeren. Sårbarheden er klassificeret som kritisk af Google og er rettet i Chrome 150.0.7871.47.

Sårbarheden findes i Google Chrome i alle versioner før 150.0.7871.47, på Windows, macOS og Linux. Da mange virksomheder bruger Chrome som standardbrowser til medarbejdernes daglige arbejde, herunder webmail, fagsystemer og intranet, rammer fejlen stort set alle danske virksomheder og kommuner, der ikke har fået opdateret browseren automatisk.

Fejlen bruges typisk som andet led i et angreb. Har en angriber først fået adgang til Chromes gengivelsesproces, for eksempel via en anden sårbarhed på en ondsindet webside, kan denne fejl bruges til at bryde ud af sandboxen og få adgang til resten af medarbejderens computer. I praksis kan det føre til installation af skadelig kode, aflytning af arbejdet på maskinen eller adgang til virksomhedens netværk fra en enkelt medarbejders pc.

CVSS-score er 9,8 ud af 10, kritisk. Angrebet kræver ikke login og ingen handling fra brugeren, udover at browseren allerede har åbnet en ondsindet side, der har kompromitteret gengivelsesprocessen. Der er pr. offentliggørelsesdatoen ikke kendte tegn på, at fejlen udnyttes i angreb, men Google har vurderet den til kritisk severity, og fejltypen, type confusion, er historisk set blevet brugt i målrettede angrebskæder mod Chrome.

Sådan lukker I hullet og reducerer risikoen:

1. Sørg for at Chrome opdateres til version 150.0.7871.47 eller nyere på alle computere, og bed medarbejderne genstarte browseren, da opdateringen først træder i kraft ved genstart.
2. Tjek centralt via administrationsværktøjer, om nogen enheder stadig kører en ældre version af Chrome.
3. Slå automatisk opdatering af Chrome til, hvis det ikke allerede er aktiveret, så fremtidige rettelser kommer hurtigt ud.
4. Gennemgå virksomhedens phishing-forsvar og medarbejdernes opmærksomhed på mistænkelige links, da denne type fejl typisk udnyttes efter et første klik.
5. Kontakt en it-sikkerhedsrådgiver, hvis I har mistanke om, at en medarbejders computer allerede er kompromitteret, eller hvis I ikke selv kan verificere opdateringsstatus på tværs af organisationen.