CVE-2026-13781: Kritisk sandbox-flugt i Google Chrome
Kritisk fejl i Google Chromes grafikmotor Skia kan bruges til at bryde ud af browserens sikkerhedsboks. Opdatér til 150.0.7871.47.
Hvad er det?
CVE-2026-13781 er en fejl i Skia, den grafikmotor der tegner indhold i Google Chrome. Fejlen skyldes utilstrækkelig kontrol af data fra en webside (CWE-20), og den kan bruges til at bryde ud af Chromes sandkasse, det lag der normalt isolerer en fane fra resten af systemet. Fejlen kræver, at en angriber allerede har fået fat i selve renderer-processen, den del af Chrome der tegner websider, gennem en anden svaghed. Skia-fejlen er derfor typisk andet led i en kæde af to angreb, men det andet led er det, der giver adgang til det underliggende system.
Hvem rammer det?
Alle der bruger Google Chrome i version ældre end 150.0.7871.46, uanset om det køres på Windows, macOS eller Linux. Fejlen sidder i selve Chrome-koden og ikke i operativsystemet, så alle tre platforme er ramt ens. Virksomheder med mange medarbejdere, der browser med Chrome uden central styring af opdateringer, er særligt udsatte, fordi versionerne let kommer bagud.
Hvad kan ske?
Hvis en medarbejder besøger en forberedt webside og en anden svaghed først har givet angriberen fodfæste i browserens renderer-proces, kan denne fejl bruges til at slippe ud af sandkassen og få adgang til resten af den pc, browseren køres på. I praksis kan det føre til installation af skadelig kode, aflæsning af filer og adgangskoder på maskinen, eller at angriberen får et fodfæste til at bevæge sig videre i virksomhedens netværk.
Hvor alvorligt er det?
CVSS-score 9,6 af 10, kritisk. Angrebet kræver ingen login-oplysninger, men det kræver, at brugeren interagerer, typisk ved at åbne en forberedt webside. Fejlen ændrer omfang (scope changed), hvilket betyder, at konsekvensen rækker uden for selve Chrome-processen og ind i resten af systemet. Der er ikke oplysninger om, at fejlen er udnyttet i angreb ved offentliggørelsen, men fordi den er del af en kendt angrebskæde og allerede er beskrevet offentligt af Google som kritisk, bør den behandles som et reelt mål for angribere.
Hvad gør jeg nu?
Sådan lukker I hullet og sikrer jer mod følgevirkninger:
- Opdatér Google Chrome til version 150.0.7871.47 eller nyere på alle pc’er, både Windows-, macOS- og Linux-maskiner.
- Kontrollér at automatisk opdatering er aktiveret i Chrome, så fremtidige opdateringer installeres uden manuel handling.
- Genstart browseren efter opdateringen, da Chrome ofte kun downloader opdateringen i baggrunden og først aktiverer den ved genstart.
- Tjek om andre Chromium-baserede browsere i brug, som Microsoft Edge eller Brave, har modtaget en tilsvarende opdatering.
- Har I ikke central styring af browseropdateringer i virksomheden, eller er I i tvivl om, hvor mange maskiner der stadig kører gamle versioner, bør I søge hjælp til at få kortlagt og opdateret jeres flåde af enheder.
Opdatér inden for 24 timer
Vi anbefaler, at opdateringen rulles ud til alle pc’er med det samme, da fejlen er en del af en kendt kæde til at bryde ud af Chromes sandkasse. Det er kun forsvarligt at vente, hvis I allerede har automatiske opdateringer aktiveret og kan bekræfte, at alle maskiner allerede kører version 150.0.7871.47 eller nyere.
Tidslinje
Konkrete eksempler
Medarbejder åbner link fra phishing-mail
En medarbejder i en dansk virksomhed åbner et link fra en phishing-mail på en pc, der kører en forældet version af Chrome. Websiden udnytter først en anden fejl til at overtage Chromes renderer-proces og bruger derefter CVE-2026-13781 til at bryde ud af sandkassen. Angriberen får derved adgang til pc’en og kan sprede sig videre i virksomhedens netværk.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores Chrome-installationer er ramt?
Åbn Chrome, gå til menuen og vælg Om Google Chrome. Der vises den installerede version. Er den lavere end 150.0.7871.46, er maskinen ramt og skal opdateres.
Kan vi vente til efter weekenden med at opdatere?
Har I automatisk opdatering slået til, opdateres Chrome typisk selv i baggrunden, og risikoen er begrænset. Er opdateringer ikke automatiske, bør I ikke vente, da fejlen giver mulighed for at bryde ud af browserens sikkerhedslag.
Rammer det også Microsoft Edge og andre Chromium-baserede browsere?
Fejlen sidder i Skia-komponenten, som også bruges i andre Chromium-baserede browsere. Tjek om Edge, Brave eller andre browsere i brug har udsendt en tilsvarende opdatering, og opdatér dem separat.
Er det nok at opdatere, eller skal vi også undersøge, om vi allerede er angrebet?
Opdateringen lukker selve hullet. Har I logs eller sikkerhedsværktøjer der viser usædvanlig adfærd fra browsere før opdateringen, bør I gennemgå dem. Er I i tvivl, kan en ekstern gennemgang af logs give klarhed.
Skal vi anmelde noget til myndighederne?
Der er ved offentliggørelsen ikke oplysninger om, at fejlen er udnyttet i angreb, så en opdatering er tilstrækkelig. Finder I tegn på faktisk misbrug, skal det behandles som en sikkerhedshændelse og eventuelt anmeldes efter jeres normale procedurer.
Ramte produkter
Google: Chrome
< 150.0.7871.46
Apple: Macos
–
Linux: Linux Kernel
–
Microsoft: Windows
–
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Insufficient validation of untrusted input in Skia in Google Chrome prior to 150.0.7871.47 allowed a remote attacker who had compromised the renderer process to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Critical)
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.