Chrome Zero-Day CVE-2026-85046: CISA's deadline van 18 september

Een Chrome-bug die aanvallers al gebruikten

Google heeft opnieuw een actief misbruikte Chrome zero-day gepatcht, en de klok tikt nu voor iedereen die nog niet heeft geüpdatet. De kwetsbaarheid, geregistreerd als CVE-2026-85046, werd op 4 september 2026 verholpen, maar het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft hem al toegevoegd aan zijn Known Exploited Vulnerabilities (KEV)-catalogus, waardoor federale agentschappen tot 18 september de tijd hebben om de patch toe te passen. Dat korte tijdsvenster is een sterk signaal over hoe serieus veiligheidsfunctionarissen deze bug nemen, en het is een herinnering dat ook gewone Chrome-gebruikers niet moeten afwachten.

Dit is niet de eerste keer dat deze specifieke kwetsbaarheid het nieuws haalt. Zoals we bespraken toen de patch voor de Chrome zero-day CVE-2026-85046 voor het eerst werd uitgebracht, bracht Google een noodupdate uit nadat was bevestigd dat aanvallen in de echte wereld de kwetsbaarheid al misbruikten voordat er een fix beschikbaar was. De CISA-deadline voegt een nieuwe laag van urgentie toe aan een verhaal dat al snel ging.

Wat CVE-2026-85046 gevaarlijk maakt

CVE-2026-85046 zit in V8, de JavaScript- en WebAssembly-engine die Chrome en elke op Chromium gebaseerde browser aandrijft. Specifiek gaat het om een type confusion-kwetsbaarheid, een klasse van bugs waarbij de browser het type data dat hij verwerkt verkeerd identificeert, waardoor aanvallers geheugen kunnen manipuleren op manieren die nooit de bedoeling waren. In de praktijk betekent dat dat een speciaal vervaardigde webpagina de kwetsbaarheid kan activeren en mogelijk willekeurige code-uitvoering kan bereiken binnen de sandbox van de browser, de geïsoleerde omgeving die Chrome gebruikt om te voorkomen dat kwaadaardige inhoud de rest van je systeem raakt.

Omdat de kwetsbaarheid al in het wild werd misbruikt voordat Google een fix uitbracht, kwalificeert hij zich als een echte zero-day. Aanvallers hoefden de patch niet omgekeerd te engineeren om erachter te komen hoe ze de bug konden misbruiken; ze gebruikten hem al tegen echte doelwitten. Dat is precies waarom CISA snel handelde om hem aan de KEV-catalogus toe te voegen, een lijst die is voorbehouden aan kwetsbaarheden met bevestigd, actief misbruik in plaats van theoretisch risico.

De fix kwam als onderdeel van een bredere Chrome-beveiligingsrelease die meerdere kwetsbaarheden aanpakte, maar CVE-2026-85046 sprong eruit vanwege de status van actief misbruik. Zoals we in onze eerdere berichtgeving uiteenzetten waarin we gebruikers opriepen om Chrome nu te updaten vanwege het privacyrisico, zou een succesvolle exploit mogelijk browseactiviteit, sessiedata of andere gevoelige informatie kunnen blootstellen aan een aanvaller die code-uitvoering krijgt in je browser.

Waarom de CISA-deadline verder reikt dan overheidsnetwerken

De KEV-catalogus van CISA is technisch gezien een mandaat voor federale civiele agentschappen, maar de impact in de echte wereld reikt veel verder. Wanneer CISA een harde deadline zoals 18 september stelt, zendt het effectief een risicobeoordeling uit naar de hele beveiligingsindustrie: deze bug is ernstig, hij wordt actief gebruikt, en organisaties van elke omvang zouden het patchen ervan als prioriteit moeten behandelen, niet als een routine-update die ooit nog wel eens moet gebeuren.

Veel bedrijven, IT-afdelingen en beveiligingsteams buiten de overheid gebruiken de KEV-catalogus als maatstaf voor hun eigen planning van patchbeheer. Als een kwetsbaarheid op de lijst komt, springt hij doorgaans naar de top van de wachtrij. Voor individuele gebruikers is er geen formele deadline, maar dezelfde logica geldt. Chrome updatet zichzelf voor de meeste gebruikers stil op de achtergrond, maar dat werkt alleen als de browser de kans krijgt om opnieuw op te starten en de update toe te passen. Als je dagen of weken dezelfde Chrome-tabbladen open hebt gehad zonder opnieuw op te starten, draai je mogelijk nog een kwetsbare versie.

Wat dit voor jou betekent

Als je Chrome gebruikt, of een op Chromium gebaseerde browser die dezelfde V8-engine erft, is dit vandaag vijf minuten aandacht waard. De exploit vereist niet dat je een bestand downloadt of op een verdachte link klikt in de traditionele zin; gewoon een kwaadaardige of gecompromitteerde webpagina bezoeken kan genoeg zijn om hem te activeren. Dat maakt browserpatchen een van de weinige beveiligingstaken waarbij de oplossing volledig in jouw handen ligt en bijna geen moeite kost.

Thuisgebruikers, kleine bedrijven en iedereen die zijn eigen apparaten beheert, zouden dit op dezelfde manier moeten behandelen als CISA federale netwerken behandelt: als een prioriteit, niet als een taak voor ooit. Het goede nieuws is dat, anders dan bij veel kwetsbaarheden, er voor deze al een fix beschikbaar is en klaarstaat.

Concrete actiepunten

• Open het menu van Chrome, ga naar Help > Over Google Chrome en laat het controleren op updates. Start de browser opnieuw zodra de update is gedownload om ervoor te zorgen dat de patch daadwerkelijk van kracht wordt.
• Controleer of alle op Chromium gebaseerde browsers die je gebruikt (inclusief die op dezelfde engine zijn gebouwd) hun eigen beveiligingsupdates hebben, aangezien de onderliggende V8-kwetsbaarheid ook hen kan treffen.
• Vertrouw niet uitsluitend op automatische updates op de achtergrond als je je browser zelden sluit of opnieuw opstart. Handmatig een controle starten zorgt ervoor dat je geen verouderde, kwetsbare code draait.
• Als je apparaten beheert voor een bedrijf of organisatie, geef deze patch dan prioriteit zoals de KEV-deadline van CISA suggereert dat federale agentschappen zouden moeten, zelfs als je niet gebonden bent aan dezelfde datum van 18 september.
• Blijf alert op toekomstige Chrome-beveiligingsbulletins. Zero-days zoals CVE-2026-85046 komen vaak in clusters, en tijdig patchen blijft de meest betrouwbare verdediging die gewone gebruikers ter beschikking hebben.

Je browser updaten kost maar een moment, maar het sluit de deur voor een kwetsbaarheid die aanvallers al gebruikten voordat Google zelfs maar een fix klaar had. Die kloof tussen misbruik en patch is precies waarom bijblijven met Chrome-updates een vaste plek verdient op je digitale beveiligingschecklist.