Chrome 153 sluit het zevende actief misbruikte lek van het jaar

Google heeft Chrome 153 uitgebracht, een beveiligingsupdate die 230 kwetsbaarheden verhelpt, waaronder een zero-daylek dat aanvallers al misbruikten voordat er een patch bestond. De kwetsbaarheid, geregistreerd als CVE-2026-87491, zit in V8, de JavaScript- en WebAssembly-engine die elk Chrome-tabblad aandrijft. Het is de zevende Chrome zero-day van 2026 waarvan bevestigd is dat die in het wild is misbruikt — een tempo dat onderstreept hoe vaak browsergerelateerde kwetsbaarheden dit jaar worden bewapend.

Zero-daykwetsbaarheden zijn lekken die worden ontdekt en misbruikt voordat een leverancier de kans heeft gehad een fix uit te brengen. Wanneer er een opduikt in V8 is dat extra zorgwekkend, omdat de engine code verwerkt van vrijwel elke website die een gebruiker bezoekt. Daarmee is het een aantrekkelijk doelwit voor aanvallers die kwaadaardige scripts langs de verdediging van de browser proberen te smokkelen.

Waarom V8 steeds terugkeert in Chrome-beveiligingsbulletins

Dit is niet de eerste keer dit jaar dat V8 centraal staat in een dringende Chrome-update. Google patchte eerder een V8 zero-day die in september 2026 live werd misbruikt, en slechts dagen voor de release van Chrome 153 loste het bedrijf CVE-2026-85046 op nadat die al tegen echte gebruikers werd ingezet. Diezelfde kwetsbaarheid ging gepaard met een harde deadline van CISA, het patchmandaat van 18 september voor federale systemen.

Het terugkerende patroon wijst op een simpele realiteit: V8 is complex, wordt voortdurend bijgewerkt en staat diep bloot aan niet-vertrouwde code van het open web, waardoor het een duurzaam doelwit is voor exploitontwikkelaars. De 230 patches in totaal in Chrome 153, waarvan de meeste gevonden zijn via Google's eigen interne tests en AI-ondersteunde bugjacht, tonen de omvang van het doorlopende werk dat nodig is om de browser veilig te houden. Maar het is die ene kwetsbaarheid die aanvallers als eerste vonden, CVE-2026-87491, die nu het meest telt.

Privacypilaties van een niet-gepatchte browser

Een browser zero-day is niet alleen een technisch ongemak, het is een directe bedreiging voor persoonlijke privacy. Misbruik van een lek zoals CVE-2026-87491 kan een aanvaller in staat stellen willekeurige code uit te voeren binnen het browserproces, waardoor mogelijk opgeslagen wachtwoorden, actieve sessiecookies, browsegeschiedenis en automatisch ingevulde gegevens worden blootgelegd. Voor iedereen die Chrome gebruikt voor bankieren, e-mail of werkaccounts vormt een niet-gepatcht V8-lek een reële opening voor diefstal van inloggegevens of sessiekaping, geen theoretisch risico.

De inzet wordt vergroot doordat browsers steeds vaker fungeren als toegangspoort tot AI-tools en extensies. Afzonderlijk onderzoek van Zenity legde onlangs zero-clicklekken bloot die AI-browserassistenten zoals Claude en ChatGPT Atlas troffen, waaruit blijkt dat het aanvalsoppervlak binnen moderne browsers inmiddels veel verder reikt dan traditionele webinhoud. Een gecompromitteerde browserengine kan een opstapje worden naar het compromitteren van deze verbonden tools en de gegevens die ze aanraken.

Wat dit voor jou betekent

Als je Chrome gebruikt, is de belangrijkste actie eenvoudig: update onmiddellijk. Chrome past updates doorgaans automatisch toe, maar de fix wordt pas van kracht nadat je de browser opnieuw hebt opgestart. Veel gebruikers laten tientallen tabbladen wekenlang open staan zonder opnieuw op te starten, wat betekent dat de gepatchte code inactief blijft terwijl de kwetsbare versie op de achtergrond blijft draaien.

Om je status te controleren, open je het menu van Chrome, ga je naar Help en vervolgens naar Over Google Chrome. De browser toont je huidige versie en downloadt automatisch eventuele openstaande updates. Start de browser opnieuw op om het proces te voltooien. Dit geldt voor Chrome op Windows, macOS en Linux, evenals voor op Chromium gebaseerde browsers zoals Microsoft Edge en Brave, die doorgaans binnen een vergelijkbare termijn gelijkwaardige fixes ontvangen omdat ze dezelfde onderliggende engine delen.

Gezien hoe vaak misbruikte Chrome zero-days in 2026 zijn verschenen, is browserupdates behandelen als een routinegewoonte in plaats van een incidentele klus een van de eenvoudigste manieren om je blootstelling te verkleinen. Automatische updates inschakelen en de browser periodiek opnieuw opstarten dicht de kloof tussen wanneer een patch beschikbaar is en wanneer die je daadwerkelijk beschermt.

Concrete adviezen

  • Update Chrome nu via Help > Over Google Chrome en start de browser opnieuw op om de fix voor CVE-2026-87491 toe te passen.
  • Controleer of automatische updates zijn ingeschakeld, zodat toekomstige patches, inclusief fixes voor toekomstige Chrome zero-dayontdekkingen, zonder handmatige tussenkomst worden geïnstalleerd.
  • Start je browser regelmatig opnieuw op in plaats van hem eindeloos te laten draaien, aangezien updates pas van kracht worden na een herstart.
  • Pas dezelfde updatediscipline toe op elke op Chromium gebaseerde browser die je gebruikt, omdat ze vaak dezelfde onderliggende V8-engine en kwetsbaarheden als Chrome delen.
  • Blijf het hele jaar alert op beveiligingsadviezen. Aangezien dit de zevende bevestigde Chrome zero-day van 2026 is, zijn er waarschijnlijk nog meer noodpatches voordat het jaar voorbij is.