Google har fikset nok en Chrome-minnefeil som angripere allerede utnyttet, noe som bringer årets telling av aktivt utnyttede Chrome-nulldager til åtte. Den nyeste Chrome null-dag 2026-oppdateringen følger et kjent mønster: en feil oppdages i bruk ute i det fri, Google slipper en lapp, og brukere blir bedt om å oppdatere og starte på nytt. Detaljene rundt den nyeste feilen er sparsommelige i dekningen vi har, så dette innlegget fokuserer på hva mønsteret betyr og hva du bør gjøre med det.
Hvorfor Chrome fortsetter å få nulldager i år
Åtte nulldager på ett år er mye for én nettleser, og tallet fortsetter å stige. Rett før denne dekket vi hvordan Chrome 153 lappet den sjuende nulldagen i 2026. Nå er det en åttende.
Den røde tråden er minnefeil. Chrome er en enorm kodebase som håndterer ubetrodd innhold fra hvert nettsted du besøker, og mye av den er skrevet i språk der feil i minnehåndtering er mulig. Når en feil slipper gjennom, kan den noen ganger gjøres om til et våpen. Det gjør nettleseren til et konstant mål.
En "nulldag" betyr at angriperne kom først. Leverandøren hadde ingen lapp tilgjengelig da utnyttelsen begynte, så det fantes ikke noe vindu der brukere kunne ha beskyttet seg ved å oppdatere. Det er derfor fiksen, når den først finnes, betyr så mye.
Hva angripere kan gjøre med en utnyttet minnefeil
Minnesikkerhetsfeil lar vanligvis en angriper få nettleseren til å oppføre seg på måter designerne aldri hadde til hensikt. I praksis kan det bety å kjøre ondsinnet kode på enheten din etter at du bare besøker en side med feller. De nøyaktige evnene avhenger av den spesifikke feilen og av hvorvidt den er kombinert med andre feil.
Den kombinasjonen er verdt å forstå. Moderne nettlesere isolerer webinnhold i en sandkasse, så én feil er ofte ikke nok for en full kompromittering. Angripere kombinerer noen ganger flere sårbarheter for å bryte seg ut. Vi så på dette i vår rapport om en Chrome-nulldagkjede som bryter seg ut av sandkassen, som viser hvordan separate feil kan settes sammen til én fungerende utnyttelse.
Hovedpoenget for vanlige brukere: du trenger ikke å laste ned noe eller klikke på en mistenkelig melding for at en nettleserutnyttelse skal bety noe. Bare det å laste innhold kan være nok, og det er derfor disse feilene tas på alvor selv når de offentlige detaljene er sparsommelige.
Hvorfor en VPN ikke stopper nettleserutnyttelser
Det er lett å anta at personvernverktøy dekker alt. Det gjør de ikke. En VPN krypterer trafikken mellom enheten din og VPN-serveren og skjuler IP-adressen din fra nettstedene du besøker. Det er nyttig for personvern på ubetrodde nettverk, men det opererer på nettverksnivå.
En nettleserutnyttelse skjer inne i selve nettleseren. Hvis en ondsinnet side utløser en minnefeil i Chrome, er VPN-tunnelen rett og slett det som frakter siden til deg, utnyttelsen inkludert. Krypteringen inspiserer eller nøytraliserer ikke det siden gjør når Chrome først rendrer den.
Dette er ikke et argument mot å bruke en VPN til det den er laget for. Det er en påminnelse om at ulike verktøy løser ulike problemer. For nettlesersårbarheter er det relevante forsvaret lappen.
Hvordan sjekke at Chrome er fullt oppdatert
Chrome oppdaterer seg vanligvis selv i bakgrunnen, men fiksen gjelder først når nettleseren starter på nytt. Mange lar Chrome stå åpen i dager eller uker, noe som kan etterlate et gap der den er lappet, men ikke oppdatert i praksis.
- Åpne Chrome og klikk på trepunktsmenyen øverst i høyre hjørne.
- Gå til Hjelp, deretter Om Google Chrome.
- La Chrome se etter oppdateringer. Hvis en er tilgjengelig, lastes den ned automatisk.
- Klikk Start på nytt når du blir bedt om det. Fanene dine gjenopprettes vanligvis etterpå.
- Åpne Om-siden igjen for å bekrefte at den sier at Chrome er oppdatert.
Hvis du administrerer enheter for en husstand eller et lite team, gjenta dette på hver datamaskin og telefon som bruker Chrome. Nettlesere basert på samme motor kan også motta sine egne fikser, så sjekk dem også.
Lappefrister kan også ha betydning i organisasjoner. Vår dekning av CISA sin frist 18. september for en Chrome-nulldag er et godt eksempel på hvor raskt veiledning kan endre seg når utnyttelse er bekreftet.
Hva dette betyr for deg
For de fleste er risikoen fra en enkelt nulldag lav, og botemiddelet er raskt. Men den jevne strømmen av fikser i år tyder på at det er en feil å behandle nettleseroppdateringer som valgfrie. Angripere finner tydeligvis og bruker Chrome-feil før lapper finnes, så tiden mellom at en fiks slippes og at du bruker den, er den delen du kontrollerer.
Noen få praktiske vaner hjelper:
- Start Chrome på nytt regelmessig. En nedlastet oppdatering gjør ingenting før du starter på nytt.
- Sjekk Om-siden hver gang du ser nyheter om en ny Chrome-nulldag.
- Hold operativsystemet oppdatert også, siden nettleserutnyttelser noen ganger kjedes sammen med andre feil.
- Bruk en VPN til det den er god på, som å beskytte trafikk på offentlig Wi-Fi, men ikke regn med at den blokkerer nettleserangrep.
Konklusjon: Oppdater og start på nytt nå
Den nyeste Chrome null-dag 2026-oppdateringen er nok en påminnelse om at den mest effektive beskyttelsen mot nettleserutnyttelser er en lappet nettleser. Åpne Chromes Om-side nå, installer den nyeste oppdateringen og start på nytt. For kontekst om hvordan årets problemer har hopet seg opp, les vår tidligere rapport om Chrome 153 og dens sjuende nulldagfiks. Det tar under et minutt, og det lukker døren for en feil som angripere allerede brukte.
