CVE-2026-13784: Kritisk hukommelsesfejl i Google Chrome

CVE-2026-13784 er en use-after-free-fejl, en hukommelsesfejl hvor programmet fejlagtigt bruger hukommelse, der allerede er frigivet, hvilket en angriber kan udnytte til at få kørt skadelig kode. Fejlen sidder i Views, den del af Google Chrome, der styrer brugergrænsefladen og tegner vinduer og menuer. Angriberen skal have brugeren til at udføre bestemte UI-handlinger, for eksempel klikke, trække eller markere noget på en manipuleret side, før fejlen kan udløses. Chromium-projektet, som Chrome bygger på, klassificerer selv fejlen som kritisk. Fejlen findes i Chrome før version 150.0.7871.46 og er derfor rettet i 150.0.7871.47.

Alle virksomheder, der bruger Google Chrome på Windows, macOS eller Linux, er berørt. Det gælder både medarbejdernes almindelige arbejdscomputere og eventuelle servere eller kiosk-maskiner, hvor Chrome kører i baggrunden. Fejlen sidder i browseren selv, ikke i operativsystemet, men da Chrome findes på tværs af Windows, macOS og Linux, er det den samme sårbare kode uanset platform. Er I ikke sikre på, hvilken version I kører, kan I tjekke det under Chrome-menuens punkt ‘Om Google Chrome’.

Får en medarbejder narret til at klikke, trække eller markere noget på en forberedt hjemmeside, kan angriberen udnytte hukommelsesfejlen til at køre sin egen kode i browseren. Det kan i praksis betyde, at angriberen får adgang til de samme oplysninger og rettigheder, som medarbejderen har i browseren, herunder login-sessioner, gemte adgangskoder og adgang til virksomhedens interne webapplikationer. Da CIA-værdierne (fortrolighed, integritet og tilgængelighed) alle er sat til høj i vurderingen, kan konsekvensen spænde fra datatab til, at angriberen får et fodfæste på den ramte computer.

CVSS-scoren er 8,8 ud af 10, hvilket klassificeres som alvorligt. Angrebet kræver ikke, at angriberen er logget ind eller har rettigheder i forvejen, men det kræver, at brugeren udfører en handling på en manipuleret side, for eksempel klikker eller trækker noget. Angrebet kan udføres over netværket, altså blot ved at brugeren besøger en hjemmeside, og kompleksiteten er lav, hvilket betyder, at angrebet ikke kræver særlige forudsætninger på det ramte system. Der er ingen oplysninger om, at fejlen aktivt udnyttes i angreb pr. offentliggørelsesdatoen, men Chromium-projektet vurderer selv fejlen som kritisk.

Følg punkterne i denne rækkefølge for at lukke hullet og begrænse risikoen, mens opdateringen udrulles:

1. Opdatér Google Chrome til version 150.0.7871.47 eller nyere på alle computere, herunder medarbejdernes arbejdscomputere og eventuelle servere eller kiosk-maskiner.
2. Genstart browseren efter opdateringen, da rettelsen først træder i kraft ved genstart.
3. Tjek, at automatiske opdateringer er aktiveret i jeres centrale browserpolitik, så fremtidige rettelser rulles ud uden manuel handling.
4. Informer medarbejderne om at være tilbageholdende med at klikke på links fra ukendte afsendere, indtil opdateringen er bekræftet udrullet til alle enheder.
5. Har I mange enheder eller ingen central styring af browseropdateringer, bør I kontakte en it-leverandør eller sikkerhedsrådgiver til at få udrullet opdateringen hurtigt og systematisk.