Google heeft Chrome 155 updates uitgerold die in totaal 247 kwetsbaarheden verhelpen. Daarbij zitten vier fouten met kritieke ernst, die volgens Google allemaal draaien om use-after-free. Voor wie Chrome gebruikt is dit vooral een praktische reminder: pak de nieuwste versie zodra die beschikbaar is.
In de update-opmerkingen licht Google ook toe dat een groot deel van de problemen is teruggevonden door externe onderzoekers, terwijl de rest grotendeels door Google zelf is gevonden. Google koppelt de gepatchte tekortkomingen aan meerdere componenten van de browser.
Vier kritieke use-after-free fouten in Chrome
De vier kritieke issues zijn use-after-free kwetsbaarheden. Google noemt dat deze fouten gevolgen hebben voor verschillende onderdelen binnen Chrome, waaronder gerelateerd aan Chromecast, de Browser– en Navigation-componenten, en de Track-component. De bijbehorende identificaties (CVE’s) zijn: CVE-2026-106382, CVE-2026-106197, CVE-2026-106358 en CVE-2026-106347.
Volgens de update is één van de kritieke bugs door Google zelf ontdekt, terwijl de andere drie door onderzoeker Xinyang Ge zijn gerapporteerd. Google zegt dat de onderzoeker AI heeft gebruikt om twee van de security-defecten te identificeren. Over bug bounty bedragen richting de onderzoeker doet Google op dit moment nog geen mededelingen.
Chrome 155 updates: ook veel high, medium en low issues
Naast de vier kritieke problemen bevat Chrome 155 updates 53 high-severity kwetsbaarheden. Google vermeldt daarbij dat 34 daarvan afkomstig zijn van externe onderzoekers. Daarnaast zijn er 190 issues met medium- of low-severity status, waarbij Google aangeeft dat het merendeel intern is gevonden.
Een opvallend onderdeel van Google’s toelichting is de rol van AI bij het vinden van bugs. Google stelt dat ongeveer een dozijn van de gemelde fouten afkomstig is van Xinyang Ge en dat veel van die bevindingen met AI zijn gevonden. Tegelijkertijd meldt Google dat er voor een deel van de rapportages geen beloning wordt uitgekeerd.
Hoe vaak kwamen externe onderzoekers met meldingen?
Van de in deze Chrome-update gepatchte kwetsbaarheden kwamen er volgens Google 62 uit externe hoek. Over de bug bounty betalingen stelt Google dat er ongeveer $33.000 is uitgekeerd. Voor bijna 50 rapporten heeft Google die bedragen nog niet openbaar gemaakt.
Google merkt verder op dat de update geen melding bevat van kwetsbaarheden die momenteel actief misbruikt worden in het wild. Dat betekent niet dat je mag wachten met updaten; het is vooral een signaal dat de aanvallen nog niet openbaar worden gekoppeld aan deze specifieke fixes.
Welke type kwetsbaarheden zitten er het vaakst in?
Om de aard van de gepatchte problemen inzichtelijk te maken, noemt Google ook categorieën. In de Chrome 155 updates komen volgens Google de volgende typen het meest voor:
- Incorrect authorization (41)
- Use-after-free (34)
- Missing authorization (34)
- UI misrepresentation (20)
- Information leak (17)
- Uninitialized resource (16)
- Confused deputy (9)
- Improper input validation (9)
De mix laat zien dat het niet alleen om geheugenfouten gaat. Ook ontwerp- en validatieproblemen—zoals verkeerde autorisatie of onduidelijke UI-informatie—kunnen voor aanvallers relevant zijn, afhankelijk van context en gebruik.
Voor welke versies geldt dit en hoe werk je bij?
Google geeft aan dat de nieuwste Chrome-iteratie nu wordt uitgerold naar gebruikers. Voor Windows en macOS gaat het om 155.0.8059.39/.40. Voor Linux betreft het 155.0.8059.39.
Wat je concreet kunt doen: controleer in Chrome of je de nieuwste versie gebruikt en start (indien nodig) de browser opnieuw zodat de update daadwerkelijk actief wordt. Op organisatie-niveau helpt het om updates van de browser als onderdeel van je patch- en beheerproces te behandelen.
Waarom dit voor security teams relevant blijft
Browserupdates zijn in de praktijk vaak een van de meest zichtbare—en tegelijk moeilijkste—onderdelen om consistent up-to-date te houden. Zeker wanneer onderzoekers steeds vaker AI inzetten om patronen sneller te vinden. De toelichting bij deze Chrome 155 updates laat zien dat AI niet alleen in aanvallen terug te zien is, maar ook in het zoeken naar kwetsbaarheden.
Als je security beleid gericht is op het verminderen van risico’s, is dit type update een nuttig moment om je aanpak te checken:
- Staat browser-updating op dezelfde prioriteit als server- en OS-patching?
- Worden endpoints automatisch bijgewerkt of blijft het bij “gebruikers doen het zelf”?
- Is er logging of monitoring die kan signaleren wanneer apparaten niet up-to-date zijn?
Voor meer context over hoe kwetsbaarheden soms via omwegen of misleiding ontstaan, kan ook dit artikel relevant zijn: Fake Cloudflare checks die LunexStealer verspreiden.
Gerelateerde patches: kijk ook naar andere ecosystemen
Een belangrijke gewoonte is om niet alleen naar één browser te kijken. In dezelfde periode circuleerden ook meldingen over patches in andere software en platformen. Zo is er bijvoorbeeld aandacht voor Android October 2026 patches met 25 fixes. Ook zulke updates kunnen in een bredere security update-strategie passen, zeker wanneer mobiele apparaten deel uitmaken van je omgeving.
Daarnaast zie je regelmatig dat kwetsbaarheden in webapplicaties en enterprise tooling opduiken. Als je wilt doorredeneren vanuit de beveiligingscategorieën—zoals autorisatieproblemen en UI-gerelateerde misleiding—dan is het logisch om deze structureel terugkerende patronen ook in je eigen applicatie- en dependency-checks mee te nemen.
Conclusie
Chrome 155 updates lossen in één keer 247 kwetsbaarheden op, waaronder vier kritieke use-after-free fouten die onderdelen raken zoals Chromecast, Browser, Navigation en Track. Google meldt geen indicaties van misbruik in het wild, maar dat maakt een update niet minder urgent.
Werk Chrome bij naar de genoemde versies en behandel dit als onderdeel van je normale patchroutine. Daarmee verklein je de kans dat bekende zwakheden in je omgeving alsnog worden uitgebuit—ook wanneer aanvallers of onderzoekers hun methodes steeds verder verfijnen.
Bron: https://www.securityweek.com/chrome-155-update-patches-247-vulnerabilities/
