CVE-2026-13782: Kritisk sandkasse-fejl i Google Chrome

CVE-2026-13782 er en fejl i Google Chrome, hvor programmet fejlagtigt bruger et hukommelsesområde, der allerede er frigivet (kaldet brug efter frigivelse). Det sker i browserens kernekomponent. Chrome kører websider i en afgrænset del af systemet, kaldet en sandkasse, så en skadelig side ikke kan røre resten af computeren. Denne fejl gør det muligt at bryde ud af sandkassen, hvis en angriber først har fået fat i browserens renderer-proces, som er den del af Chrome, der viser selve websiden. Fejlen er derfor typisk andet led i et angreb, men det led, der giver angriberen adgang til hele systemet.

Alle, der bruger Google Chrome i en version ældre end 150.0.7871.46, på Windows, macOS eller Linux. Det gælder både medarbejdernes daglige browser og servere eller kiosk-pc’er, hvor Chrome kører. Browsere baseret på Chromium, som Microsoft Edge og Brave, kan være ramt af samme type fejl, men er ikke nævnt direkte i denne sårbarhed.

Hvis en medarbejder besøger en forberedt hjemmeside eller åbner et forberedt HTML-dokument, kan en angriber, der i forvejen har udnyttet en anden fejl i Chrome, bruge denne sårbarhed til at slippe ud af browserens sikre afgrænsning. Herfra kan angriberen typisk installere skadelig kode, læse filer på maskinen eller bevæge sig videre ind i virksomhedens netværk. For en dansk virksomhed betyder det i praksis, at et enkelt klik på et link kan føre til, at en medarbejders pc bliver overtaget fuldstændigt.

CVSS-scoren er 10,0 ud af 10, den højeste mulige. Angrebet kræver ingen login og ingen særlig brugerhandling ud over at åbne en side, og det kan ske over netværket. Fejlen er dog kun det andet trin i et kædet angreb: den kræver, at angriberen allerede har fået kontrol over Chromes renderer-proces via en anden svaghed. Det gør sårbarheden meget alvorlig i kombination med andre fejl, men den kan ikke stå alene som eneste angrebsvej. Der er ingen offentlige oplysninger om, at fejlen er udnyttet i praksis endnu.

Det vigtigste er at få opdateret Chrome overalt, hvor det bruges i virksomheden.

1. Opdatér Google Chrome til version 150.0.7871.47 eller nyere på alle pc’er, servere og kiosk-maskiner. Chrome opdaterer normalt automatisk ved genstart, men tjek versionen manuelt via menuen ‘Om Google Chrome’.
2. Genstart browseren efter opdateringen, da fejlen først lukkes, når Chrome er genstartet.
3. Sørg for, at automatiske opdateringer af Chrome ikke er blokeret af gruppepolitikker eller firewall-regler.
4. Tjek om I bruger Chromium-baserede browsere som Edge eller Brave, og hold øje med, om leverandøren udsender lignende opdateringer.
5. Orientér medarbejdere om, at de skal genstarte browseren, hvis de får en besked om ventende opdatering.
6. Kontakt Auroa eller jeres it-leverandør, hvis I har mange enheder uden central styring af browseropdateringer, eller hvis I er i tvivl om, hvordan I verificerer versionen på tværs af organisationen.