Google heeft Chrome-gebruikers geïnformeerd over een nieuwe reeks beveiligingsupdates. In deze Chrome update zero-day-release zit een kwetsbaarheid die al in het wild wordt misbruikt. Daarmee is het risico voor gebruikers direct relevant: wacht niet af, maar update zo snel mogelijk.
Naast de zero-day verhelst Google nog meerdere andere problemen in verschillende browseronderdelen. In totaal gaat het om negen kwetsbaarheden, met onder meer hoge en middelhoge ernstniveaus.
Zero-day in de XML-component (CVE-2026-125350)
De opvallendste update is de kwetsbaarheid met identificatie CVE-2026-125350. Google classificeert deze als high severity en koppelt het aan een use-after-free in de XML-component van de webbrowser.
Wat het extra urgent maakt, is dat de issue actief wordt uitgebuit. Een anonieme onderzoeker meldde het probleem op 6 november aan Google. Op het moment van publicatie deelde Google geen verdere technische details en was er ook geen publiek inzicht in hoe aanvallen precies plaatsvinden.
Ook opvallend: CISA had de CVE-2026-125350 nog niet toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus. Dat betekent niet dat het risico lager is, maar wel dat de dreigingsstatus nog aan het verschuiven kan zijn.
Waarom dit type bug extra impact kan hebben
Een use-after-free komt neer op een situatie waarin software een object nog gebruikt nadat het geheugen is vrijgegeven. In browsers kan dat in sommige gevallen leiden tot gevolgen die verder reiken dan alleen een crash, bijvoorbeeld misbruik om code-uitvoering te faciliteren.
Omdat het hier om een component gaat die XML verwerkt, is het de combinatie van specifieke functionaliteit en actief misbruik die je als gebruiker serieus moet nemen. Kortom: de beste “mitigatie” is updaten.
Welke Chrome onderdelen worden nog meer gepatcht
De nieuwste Chrome updates pakken niet alleen de zero-day aan. Google meldt daarnaast zes kwetsbaarheden met high severity die worden opgelost in onder meer de volgende componenten:
- WebGL
- FileSystem
- Compositing
- GPU
- V8
- XML
Voor deze overige fouten geldt dat Google er volgens de melding het grootste deel intern heeft ontdekt. Daarnaast zijn er ook twee bugs met medium severity verholpen, gerelateerd aan uninitialized resource-problemen in de GPU-component.
Het brede palet aan getroffen modules laat zien dat deze update niet “klein” is: meerdere lagen van de browserarchitectuur krijgen correcties.
Welke versies moeten gebruikers installeren
De patches zitten in Chrome 157. Google noemt daarbij de volgende versies:
- Windows en Mac: 157.0.8103.50 / .51
- Linux: 157.0.8103.50
Als je automatische updates aan staan, volgt de update meestal vanzelf. Staat het uit, controleer dan handmatig in Chrome. Zorg er daarbij voor dat je ook echt op een van de genoemde subversies uitkomt.
Negende Chrome zero-day dit jaar: trend om te volgen
Dit is niet de eerste zero-day die dit jaar in Chrome naar boven kwam. Google vermeldt dat het gaat om de achtste zero-day in het jaar, na eerdere issues met CVE’s zoals CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 en CVE-2026-87491.
Voor organisaties en security-teams is dit een duidelijke signaalfunctie: browsers zijn een hoogwaarde doelwit. Wie patching te laat plant, vergroot de kans dat systemen achterblijven terwijl kwetsbaarheden al worden misbruikt.
Wil je weten waarom patchvertraging steeds vaker een probleem vormt, dan is dit gerelateerd: dreiging en patchvertraging in 2026: default admin.
Wat je nu kunt doen (praktisch)
Omdat de zero-day al in het wild wordt benut, draait het vandaag vooral om snelheid en controle. Doorloop daarom dit korte stappenplan:
- Update Chrome direct naar Chrome 157 met de genoemde versienummers.
- Check of updates daadwerkelijk doorlopen (zeker bij beheerde omgevingen of systeembeleid).
- Herhaal dit op alle endpoints: werkstations, laptops en omgevingen waar Chrome toegang heeft tot gevoelige systemen.
- Laat gebruikers niet “op hun gemak” wachten. Leg uit dat het om een actief misbruikte zero-day gaat.
Als je in een organisatie werkt, is het verstandig om updates te koppelen aan je standaard release- en changeprocessen, maar wel met prioriteit voor browserveiligheid.
Extra context: grote aantallen fixes en aanvullende hardening
Google verwijst in de context van deze update ook naar andere recente ontwikkelingen rond Chrome, waaronder securitymaatregelen en aanvullende patches in eerdere releases. Dat past bij een bredere strategie: naast het repareren van kwetsbaarheden probeert Google ook het aanvalsoppervlak te verkleinen.
Desondanks blijft de verantwoordelijkheid bij gebruikers en beheerders: zolang je niet updatet, profiteer je niet van de beveiligingswinst.
Conclusie
De Chrome update zero-day die Google publiceert, bevat een use-after-free in de XML-component (CVE-2026-125350) die al wordt uitgebuit. Daarnaast verhelst Chrome 157 nog meerdere high- en medium-ernstige kwetsbaarheden in onderdelen zoals WebGL, GPU, FileSystem en V8.
Update daarom snel naar de juiste Chrome 157-versie voor jouw besturingssysteem. Zo verklein je direct de kans dat je kwetsbaar blijft terwijl aanvallers deze fouten al benutten.
Bron: https://www.securityweek.com/chrome-update-patches-exploited-xml-zero-day-eighth-this-year/
