Google heeft weer een Chrome-geheugenbug verholpen die aanvallers al misbruikten, waarmee het aantal Chrome zero-days dat dit jaar actief is misbruikt op acht komt. De nieuwste Chrome zero-day 2026-update volgt een bekend patroon: er wordt een fout ontdekt die in het wild wordt gebruikt, Google levert een patch uit en gebruikers wordt verteld bij te werken en opnieuw op te starten. De details van de nieuwste fout zijn schaars in de berichtgeving die we hebben, dus deze post richt zich op wat het patroon betekent en wat je eraan moet doen.
Waarom Chrome dit jaar steeds zero-days blijft krijgen
Acht zero-days in één jaar is veel voor één browser, en het aantal blijft stijgen. Net vóór deze hebben we besproken hoe Chrome 153 de zevende zero-day van 2026 patchte. Nu is er een achtste.
De rode draad is geheugenbugs. Chrome is een enorme codebase die onbetrouwbare inhoud van elke website die je bezoekt verwerkt, en veel ervan is geschreven in talen waarin fouten in geheugenbeheer mogelijk zijn. Wanneer een fout erdoorheen glipt, kan die soms tot een wapen worden omgevormd. Dat maakt de browser een constant doelwit.
Een "zero-day" betekent dat aanvallers er als eerste waren. De leverancier had geen patch beschikbaar toen het misbruik begon, dus er was geen periode waarin gebruikers zichzelf hadden kunnen beschermen door bij te werken. Daarom is de oplossing, zodra die bestaat, zo belangrijk.
Wat aanvallers kunnen doen met een misbruikte geheugenbug
Geheugenveiligheidsfouten stellen een aanvaller doorgaans in staat de browser te laten doen wat de ontwerpers nooit bedoeld hadden. In de praktijk kan dat betekenen dat er kwaadaardige code op je apparaat wordt uitgevoerd nadat je simpelweg een valstrik-pagina bezoekt. De exacte mogelijkheden hangen af van de specifieke bug en of die met andere fouten wordt gecombineerd.
Die combinatie is het begrijpen waard. Moderne browsers isoleren webinhoud in een sandbox, dus één bug is vaak niet genoeg voor een volledige compromittering. Aanvallers combineren soms meerdere kwetsbaarheden om eruit te breken. We hebben dit bekeken in ons rapport over een Chrome zero-day-keten die de sandbox ontsnapt, dat laat zien hoe afzonderlijke bugs kunnen worden samengevoegd tot één werkend exploit.
Het belangrijkste punt voor alledaagse gebruikers: je hoeft niets te downloaden of op een verdachte prompt te klikken om met een browser-exploit te maken te krijgen. Alleen al het laden van inhoud kan genoeg zijn, en daarom worden deze bugs serieus genomen, zelfs wanneer de openbare details schaars zijn.
Waarom een VPN browser-exploits niet stopt
Het is makkelijk om aan te nemen dat privacyhulpmiddelen alles afdekken. Dat doen ze niet. Een VPN versleutelt verkeer tussen je apparaat en de VPN-server en verbergt je IP-adres voor de sites die je bezoekt. Dat is nuttig voor privacy op onbetrouwbare netwerken, maar het werkt op netwerkniveau.
Een browser-exploit vindt plaats in de browser zelf. Als een kwaadaardige pagina een geheugenbug in Chrome activeert, vervoert de VPN-tunnel de pagina simpelweg naar je toe, exploit inbegrepen. De versleuteling inspecteert of neutraliseert niet wat de pagina doet zodra Chrome die rendert.
Dit is geen pleidooi tegen het gebruik van een VPN voor de dingen waarvoor die is ontworpen. Het is een herinnering dat verschillende hulpmiddelen verschillende problemen oplossen. Voor browserkwetsbaarheden is de relevante verdediging de patch.
Hoe je controleert of Chrome volledig is bijgewerkt
Chrome werkt zichzelf meestal op de achtergrond bij, maar de oplossing geldt pas nadat de browser opnieuw is opgestart. Veel mensen laten Chrome dagen of weken open staan, wat kan leiden tot een gat waarbij de patch is gedownload maar niet toegepast.
- Open Chrome en klik op het menu met de drie puntjes in de rechterbovenhoek.
- Ga naar Help en vervolgens naar Over Google Chrome.
- Laat Chrome controleren op updates. Als er een beschikbaar is, wordt die automatisch gedownload.
- Klik op Opnieuw starten wanneer daarom wordt gevraagd. Je tabbladen worden daarna meestal hersteld.
- Open de Over-pagina opnieuw om te bevestigen dat er staat dat Chrome up-to-date is.
Als je apparaten beheert voor een huishouden of een klein team, herhaal dit dan op elke computer en telefoon die Chrome gebruikt. Browsers die op dezelfde engine zijn gebaseerd, kunnen ook hun eigen oplossingen ontvangen, dus controleer die ook.
Patchdeadlines kunnen in organisaties ook belangrijk zijn. Onze berichtgeving over CISA's deadline van 18 september voor een Chrome zero-day is een goed voorbeeld van hoe snel richtlijnen kunnen verschuiven zodra misbruik is bevestigd.
Wat dit voor jou betekent
Voor de meeste mensen is het risico van een enkele zero-day laag, en de oplossing is snel. Maar de gestage stroom oplossingen dit jaar suggereert dat het behandelen van browserupdates als optioneel een vergissing is. Aanvallers vinden en gebruiken duidelijk Chrome-bugs voordat patches bestaan, dus de tijd tussen het uitkomen van een oplossing en het toepassen ervan is het deel dat jij beheert.
Een paar praktische gewoonten helpen:
- Start Chrome regelmatig opnieuw op. Een gedownloade update doet niets tot je opnieuw opstart.
- Controleer de Over-pagina telkens wanneer je nieuws ziet over een nieuwe Chrome zero-day.
- Houd ook je besturingssysteem bijgewerkt, omdat browser-exploits soms met andere fouten worden geketend.
- Gebruik een VPN voor wat die goed doet, zoals het beschermen van verkeer op openbare wifi, maar reken er niet op dat die browseraanvallen blokkeert.
Conclusie: werk bij en start nu opnieuw op
De nieuwste Chrome zero-day 2026-update is weer een herinnering dat de meest effectieve bescherming tegen browser-exploits een gepatchte browser is. Open nu Chrome's Over-pagina, installeer de nieuwste update en start opnieuw op. Voor context over hoe de problemen van dit jaar zich hebben opgestapeld, lees ons eerdere rapport over Chrome 153 en de zevende zero-day-fix. Het duurt minder dan een minuut, en het sluit de deur voor een bug die aanvallers al gebruikten.
