Google heeft een dringende update voor Chrome uitgebracht. Reden: een kritiek beveiligingslek dat hackers al actief gebruikten. Het gaat om een zogenaamde zero-day. Dat betekent dat aanvallers het gat vonden voordat Google het kon dichten.
Volgens tweakers.net circuleert er online een exploit voor dit lek. Gebruikers lopen ongemerkt gevaar door simpelweg een kwaadaardige website te bezoeken.
Type confusion in V8
De kwetsbaarheid draagt het kenmerk CVE-2026-85046 en zit in V8. Dat is de motor die JavaScript en WebAssembly in Chrome verwerkt. Uit een analyse van thehackernews.com blijkt dat het gaat om een 'type confusion'-bug. De software behandelt per ongeluk een object van het ene type als een object van een ander type.
Beveiligingsonderzoeker Salvatore Gulizia (online bekend als Serotav) ontdekte het lek op 4 augustus 2026. Een fout in de compilers van V8 zorgt ervoor dat een array met 'PACKED_ELEMENTS' onterecht de map 'PACKED_SMI_ELEMENTS' krijgt. Hierdoor kunnen aanvallers ongeautoriseerd lezen en schrijven op de JavaScript-heap. In de praktijk kan een aanvaller van afstand code uitvoeren binnen de sandbox van de browser, via een speciaal gemaakte HTML-pagina.
Impact en respons
De kwetsbaarheid kreeg een CVSS-score van 8,8. Dat wijst op aanzienlijk risico. Google bevestigt dat er een exploit bestaat, maar houdt de details geheim om verdere aanvallen te voorkomen. Gulizia ontving 1.000 dollar als beloning voor zijn melding.
De update van afgelopen donderdag lost in totaal twaalf kwetsbaarheden op. Zoals cybernews.com meldt, is de update essentieel voor alle gebruikers.
Waarom dit ertoe doet
Een 'type confusion bug' klinkt abstract, maar de gevolgen zijn groot. Chrome is de meest gebruikte browser ter wereld en daarmee een ideaal doelwit. Dat code kan worden uitgevoerd binnen de sandbox is een serieuze inbreuk op de bescherming van je besturingssysteem.
Herstart je browser direct om de nieuwste versie (vanaf 152.0.7977.82) te installeren.