CVE-2026-13783: Alvorlig fejl i Google Chrome

CVE-2026-13783 er en fejl i Google Chrome, der opstår i browserens Views-komponent, som styrer opbygningen af browserens grænseflade. Fejltypen kaldes use-after-free: programmet bruger et stykke hukommelse, som allerede er frigivet, og det kan en angriber udnytte til at få kontrol over, hvad hukommelsen indeholder næste gang. Sårbarheden kræver, at en medarbejder foretager bestemte handlinger i brugerfladen, for eksempel bestemte klik eller træk, på en side, angriberen har forberedt. Rammes fejlen, kan angriberen køre egen kode i den sammenhæng, browseren kører i, og dermed få adgang til det, browseren har adgang til.

Alle, der bruger Google Chrome før version 150.0.7871.46, er berørt. Det gælder browseren på Windows, macOS og Linux, samt andre browsere baseret på Chromium-motoren, som Chrome bygger på. Da Chrome er den mest brugte browser i danske virksomheder og kommuner, rammer sårbarheden stort set alle organisationer, der ikke har opdateret automatisk.

Lykkes angrebet, kan angriberen køre skadelig kode i den kontekst, Chrome kører i, på medarbejderens computer. I praksis kan det bruges til at stjæle sessioner, adgangskoder gemt i browseren eller data fra åbne faner, og som første skridt til at få fat i mere af netværket. Da angrebet kræver, at brugeren udfører en bestemt handling, ligger risikoen typisk i mails eller links, der lokker medarbejdere til at besøge en forberedt side.

CVSS-scoren er 8,8 ud af 10, hvilket er alvorligt. Angrebet kræver ikke login eller rettigheder på systemet, men det kræver brugerhandling: medarbejderen skal foretage bestemte klik eller træk på en forberedt side. Der er ikke offentligt kendt aktiv udnyttelse pr. offentliggørelsesdatoen, men Google klassificerer sikkerhedsfejlen som kritisk i deres eget system, og use-after-free-fejl i browsere bliver ofte udnyttet hurtigt, når detaljer bliver offentligt kendt.

Sådan lukker I hullet og begrænser risikoen:

1. Opdatér Google Chrome til version 150.0.7871.47 eller nyere på alle computere, både medarbejdernes og eventuelle servere med Chrome installeret. Chrome opdaterer normalt automatisk ved genstart, så bed medarbejdere om at genstarte browseren.
2. Tjek at automatiske opdateringer er aktiveret i jeres it-politik, og at gruppepolitikker eller MDM-løsninger, systemer til styring af enheder, ikke blokerer opdateringer.
3. Informér medarbejdere om at være opmærksomme på uventede links og filer, særligt i mails, da sårbarheden udnyttes ved at lokke brugere til at foretage bestemte handlinger på en forberedt side.
4. Kontrollér, om der findes andre Chromium-baserede browsere i jeres miljø, som Microsoft Edge, og opdatér dem tilsvarende.
5. Har I ikke central styring af browseropdateringer, eller er I i tvivl om, hvor mange enheder der er ramt, bør I søge hjælp til at kortlægge og opdatere jeres browsere.