Chrome dicht zevende zero-day van 2026: update nu naar versie 153

Google heeft Chrome 153 uitgebracht met een noodreparatie voor een beveiligingslek dat al actief werd misbruikt bij aanvallen. Dat melden onder meer BleepingComputer en Security Online. Het gaat om CVE-2026-87491, een kwetsbaarheid in de V8-engine van Chrome, het onderdeel dat JavaScript en WebAssembly op websites verwerkt. Het is al de zevende Chrome zero-day die Google dit jaar moet patchen omdat aanvallers er al gebruik van maakten voordat er een fix was.

Wat is er precies mis

De kwetsbaarheid is een zogeheten out-of-bounds write-fout: Chrome schrijft daarbij gegevens buiten het geheugengebied waar dat eigenlijk zou mogen. Een aanvaller kan dat misbruiken door iemand een kwaadaardige of gehackte webpagina te laten bezoeken, met speciaal geprepareerde JavaScript-code als gevolg. Google classificeert het lek als "medium" van ernst, maar beveiligingsonderzoekers wijzen erop dat dit soort geheugenfouten in V8 vaak wordt gecombineerd met een tweede lek om buiten de sandbox van de browser te komen en volledige controle over een systeem te krijgen. Het lek werd gemeld door Jihyeon Jeong, onderzoeksstagiair bij het Compsec Lab van de Seoul National University, die er een beloning van 2.500 dollar voor kreeg.

Alweer de zevende keer dit jaar

Met CVE-2026-87491 telt Google dit jaar al zeven Chrome zero-days die actief werden misbruikt voordat er een patch beschikbaar was. Dat maakt nog eens duidelijk hoe aantrekkelijk browsers zijn geworden als doelwit voor aanvallers. Vrijwel elk bedrijf gebruikt de browser de hele dag door voor e-mail, boekhouding, klantcontact en toegang tot cloudsoftware. Eén bezoek aan de verkeerde pagina in een niet-bijgewerkte browser kan dan al genoeg zijn.

Welke versie je nodig hebt

Google rolt de fix uit in Chrome 153.0.8010.36 voor Windows en Linux, en 153.0.8010.37 voor macOS. De update verschijnt geleidelijk, dus niet iedereen krijgt hem op hetzelfde moment. Chrome downloadt updates vaak automatisch op de achtergrond, maar de reparatie wordt pas actief nadat je de browser volledig herstart. Laat je Chrome dagenlang openstaan zonder herstart, dan draai je dus nog gewoon op de kwetsbare versie, ook als de nieuwe update al is binnengehaald.

Wat je nu het beste kunt doen

Controleer via Instellingen, dan Over Chrome (chrome://settings/help) of je al op versie 153.0.8010.36 (Windows/Linux) of 153.0.8010.37 (macOS) zit, of hoger. Staat er nog een oudere versie, sluit de browser dan volledig af en start hem opnieuw op zodra de update is gedownload, in plaats van te wachten tot dat vanzelf gebeurt. Gebruik je in je bedrijf ook andere Chromium-browsers zoals Microsoft Edge, Brave of Vivaldi, controleer die dan apart: die krijgen hun eigen update op hun eigen moment.

Wat dit betekent voor jouw bedrijf

Bij digitale veiligheid denken ondernemers al snel aan de eigen website of webshop, maar de browser van jou en je medewerkers is minstens zo'n groot aanvalsoppervlak, en inmiddels voor de zevende keer dit jaar het doelwit van een actief misbruikt lek. Zet automatische updates aan en maak er een gewoonte van om de browser dagelijks even volledig af te sluiten, zodat updates ook echt actief worden. Werk je met een team, stuur zo'n check dan gerust even rond, zeker nu bekend is dat er al misbruik van dit lek plaatsvindt.

Wil je dat iemand anders dit soort updates structureel voor je in de gaten houdt, niet alleen van je website maar ook van de systemen eromheen? De dienst website-onderhoud van Infotrends houdt kwetsbaarheden zoals deze bij, zodat jij daar niet zelf achteraan hoeft. Meer nieuws over beveiligingslekken en digitale veiligheid voor ondernemers vind je op onze nieuwspagina.

Bronnen: BleepingComputer en Security Online.