Google brengt beveiligingsupdate voor Chrome uit voor achtste actief uitgebuite zero-day van 2026

a close up of a padlock on a door — Kaffeebart / Unsplash

Google heeft op maandag updates uitgebracht om negen beveiligingskwetsbaarheden te verhelpen, waaronder één die momenteel actief wordt uitgebuit in de praktijk.

De kwetsbaarheid met hoge ernst, toegewezen aan de CVE-identificatie CVE-2026-125350 (CVSS-score: 8.8), is beschreven als een use-after-free-fout in de XML-component.

"Use-after-free in XML in Google Chrome vóór 157.0.8103.50 stelde een aanvaller op afstand in staat om willekeurige code uit te voeren binnen de sandbox via een aangepaste HTML-pagina," staat in de beschrijving van de fout op CVE.org.

Use-after-free-fouten ontstaan doorgaans wanneer een programma probeert toegang te krijgen tot een geheugengebied nadat dit al is vrijgegeven. Succesvolle uitbuiting van deze kwetsbaarheden kan een aanvaller in staat stellen om datacorruptie, programmafouten of willekeurige code-executie te bereiken.

Een anonieme beveiligingsonderzoeker heeft op 6 november 2026 de fout ontdekt en gerapporteerd.

Google heeft erkend "bewust te zijn dat er een exploit voor CVE-2026-125350 bestaat in het wild," maar heeft geen aanvullende specifieke informatie gegeven over hoe het in echte aanvallen wordt misbruikt of wie erachter zit.

"Toegang tot bugdetails en links kan beperkt blijven totdat de meerderheid van de gebruikers is bijgewerkt met een oplossing," voegde de techgigant toe. "We zullen ook beperkingen handhaven als de bug bestaat in een bibliotheek van derden waar andere projecten ook van afhankelijk zijn, maar nog niet zijn verholpen."

Met deze laatste ontwikkeling heeft Google in totaal acht actief uitgebuite Chrome zero-days aangepakt sinds het begin van het jaar.