CVE-2026-13780: Kritisk sandkasse-flugt i Google Chrome

CVE-2026-13780 er en sikkerhedsfejl i ANGLE, det grafiklag i Google Chrome der oversætter browserens grafikkald til det underliggende operativsystems grafikkort. Fejlen skyldes utilstrækkelig validering af data, der kommer udefra (CWE-20), og gør det muligt for en angriber, der allerede har fået kontrol over browserens renderingsproces, at bryde ud af Chromes sikkerhedssandkasse. Sandkassen er den mekanisme, der normalt holder skadelig kode isoleret fra resten af computeren. Når sandkassen brydes, kan angriberen få adgang til systemet uden om Chromes normale beskyttelse. Fejlen udløses, når offeret besøger en særligt udformet HTML-side.

Sårbarheden rammer alle, der bruger Google Chrome i en version ældre end 150.0.7871.46, på Windows, macOS og Linux. Da ANGLE er en del af Chromes kerne, gælder fejlen uafhængigt af operativsystem. Virksomheder, der bruger andre Chromium-baserede browsere med samme motor, bør holde øje med opdateringer fra den pågældende leverandør. Alle danske virksomheder med medarbejdere, der bruger Chrome til daglig, er potentielt berørt.

I praksis er sårbarheden en del af en angrebskæde. En angriber skal først kompromittere Chromes renderingsproces, typisk via en anden sårbarhed i browseren, og derefter bruge denne fejl til at slippe ud af sandkassen. Når det er sket, kan angriberen køre kode på medarbejderens computer med samme rettigheder som brugeren, installere skadelig software, stjæle data eller bevæge sig videre ind i virksomhedens netværk. For en dansk virksomhed betyder det, at et enkelt klik på et link eller besøg på en kompromitteret hjemmeside kan føre til, at en medarbejders computer bliver fuldt overtaget.

CVSS-scoren er 9,6 af 10, hvilket er kritisk. Angrebet kræver ikke login eller særlige rettigheder, men kræver, at brugeren udfører en handling, typisk at besøge en forberedt hjemmeside. Angrebet kan udføres over internettet, og kompleksiteten er lav, når først et exploit findes. Der er ikke oplysninger om, at sårbarheden er blevet udnyttet i angreb på offentliggørelsestidspunktet, men Google klassificerer fejlen som kritisk, fordi den er det sidste led i en kæde, der kan give fuld kontrol over systemet.

Sårbarheden lukkes ved at opdatere Chrome. Gør følgende:

1. Opdatér Google Chrome til version 150.0.7871.47 eller nyere på alle computere i virksomheden, herunder Windows, macOS og Linux.
2. Tjek at Chrome er sat til automatisk opdatering, og genstart browseren, så opdateringen slår igennem.
3. Gennemgå om I bruger andre Chromium-baserede browsere, som Microsoft Edge eller Brave, og opdatér disse tilsvarende.
4. Informér medarbejdere om at være ekstra forsigtige med links i mails og ukendte hjemmesider, indtil alle enheder er opdateret.
5. Kontrollér i jeres enhedsstyring, MDM eller Group Policy, at opdateringen er nået ud til samtlige enheder, ikke kun dem, der er logget på.
6. Kontakt en it-sikkerhedsleverandør, hvis I har enheder, der ikke kan opdateres, eller hvis I har mistanke om, at en computer allerede er kompromitteret.