CVE-2026-13777: Alvorlig fejl i Chrome på iOS
Fejl i Google Chrome på iOS kan udnytte en ondsindet webside til at overtage enheden. Opdatér til version 150.0.7871.46 eller nyere.
Hvad er det?
CVE-2026-13777 er en sårbarhed i Google Chrome på iOS, hvor programmet ikke validerer indhold fra en webside godt nok, før det behandles. Fejltypen kaldes CWE-20 og betyder, at Chrome stoler på data, som en angriber kan forme frit. I dette tilfælde kan en særligt udformet HTML-side ødelægge Chromes hukommelsesstyring, kaldet heap-korruption, hvilket i værste fald giver en angriber mulighed for at køre egen kode på telefonen eller tabletten.
Hvem rammer det?
Sårbarheden rammer Google Chrome på iOS i versioner ældre end 150.0.7871.46. Det vil sige medarbejdere, der bruger Chrome på iPhone eller iPad til arbejdsmail, intranet eller almindelig browsing. NVD nævner også Apple macOS, Linux-kernen og Microsoft Windows i sin produktliste, men den tekniske beskrivelse peger konkret på Chrome-appen på iOS. Virksomheder med iPhone eller iPad i drift, herunder BYOD-enheder, bør se på deres Chrome-version.
Hvad kan ske?
Åbner en medarbejder en ondsindet webside i Chrome på sin iPhone, kan siden udnytte fejlen til at ødelægge programmets hukommelse og potentielt køre skadelig kode. I praksis kan det betyde, at en angriber får adgang til data i Chrome, herunder gemte logins, cookies og eventuelt adgang videre ind i virksomhedens systemer, hvis telefonen bruges til arbejdsmail eller VPN.
Hvor alvorligt er det?
CVSS-score er 8,8 ud af 10, hvilket er alvorligt. Angrebet kræver ingen adgangskode eller forudgående adgang til systemet, men kræver, at brugeren interagerer, typisk ved at åbne et link eller besøge en webside. Det gør phishing-mails og falske links til den mest sandsynlige indgang. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Opdatér Google Chrome på alle iPhones og iPads til version 150.0.7871.46 eller nyere via App Store.
- Slå automatiske app-opdateringer til på virksomhedens iOS-enheder, så fremtidige rettelser installeres uden manuel handling.
- Informér medarbejdere om ikke at klikke på links fra ukendte afsendere, indtil opdateringen er rullet ud.
- Tjek jeres MDM-løsning (Mobile Device Management), hvis I bruger en, og send opdateringen ud centralt til alle enheder.
- Kontrollér, at også private enheder med adgang til arbejdsmail (BYOD) er opdateret.
- Er I i tvivl om, hvor mange enheder der er ramt, eller mangler I overblik over jeres enhedspark, kan I få hjælp hos Auroa til at kortlægge og lukke sårbarheden.
Opdatér inden for en uge
Vi anbefaler, at I opdaterer Chrome på alle iOS-enheder hurtigst muligt, da fejlen kan udnyttes uden login og med relativt lav teknisk kompleksitet fra angriberens side. Det er i orden at vente til den planlagte ugentlige opdateringsrunde, hvis I har automatiske opdateringer slået til og kan bekræfte, at enhederne allerede modtager dem. Har I ingen central styring af mobile enheder, bør I prioritere manuel kontrol nu, da det ellers er svært at vide, hvilke enheder der reelt er opdateret.
Tidslinje
Konkrete eksempler
Phishing-link åbnet på arbejdstelefon
En medarbejder i en dansk virksomhed modtager en sms, der ligner en pakkelevering, og klikker på linket fra sin arbejds-iPhone. Linket åbner en ondsindet webside i Chrome, som udnytter fejlen til at ødelægge appens hukommelse. Havde Chrome ikke været opdateret, kunne angriberen potentielt have fået adgang til data i browseren, herunder gemte logins til virksomhedens systemer.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-13777?
I er ramt, hvis medarbejdere bruger Google Chrome på iPhone eller iPad i en version ældre end 150.0.7871.46. Chrome på Windows, Mac eller Android er ikke omfattet af den konkrete fejl, som beskrivelsen retter sig mod.
Hvordan tjekker vi vores Chrome-version på iOS?
Åbn Chrome på iPhonen, gå til Indstillinger nederst i appen og vælg Om Chrome. Der vises den installerede version, som I kan sammenholde med 150.0.7871.46.
Kan vi vente til en fast opdateringsdag?
Hvis jeres enheder allerede har automatiske app-opdateringer slået til, sker rettelsen typisk af sig selv inden for kort tid. Har I ikke automatiske opdateringer, bør I ikke vente, da fejlen kan udnyttes ved blot at besøge en webside.
Kræver angrebet, at brugeren gør noget?
Ja. Angriberen skal have brugeren til at åbne en ondsindet webside eller et link, typisk via en phishing-mail eller et falsk link i en sms eller chat. Der kræves ingen adgangskode eller eksisterende adgang til systemet.
Skal vi anmelde hændelsen nogen steder?
Der er ikke pligt til at anmelde selve sårbarheden. Hvis I opdager, at en enhed reelt er kompromitteret, og det involverer personoplysninger, skal I vurdere anmeldepligt efter databeskyttelsesreglerne som ved enhver anden sikkerhedshændelse.
Påvirker det også Chrome på computere?
Den tekniske beskrivelse fra Google peger specifikt på Chrome-appen til iOS, altså iPhone og iPad. NVD’s produktliste nævner også macOS, Linux og Windows, men det skyldes formentlig bredere produktmatchning og ikke en bekræftet sårbarhed i desktopversionerne.
Ramte produkter
Google: Chrome
< 150.0.7871.46
Apple: Macos
–
Linux: Linux Kernel
–
Microsoft: Windows
–
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Insufficient validation of untrusted input in iOSWeb in Google Chrome on iOS prior to 150.0.7871.47 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical)
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.