Chrome update: achtste zero-day van 2026, zo rolt u de noodpatch uit

Google heeft op maandag 9 november een noodupdate voor Chrome uitgebracht die een actief misbruikte kwetsbaarheid dicht: CVE-2026-125350, een use-after-free-fout in de XML-component van de browser. Het is volgens BleepingComputer de achtste Chrome-zero-day die Google dit jaar moet repareren. De gecorrigeerde versies zijn 157.0.8103.50/.51 voor Windows en macOS en 157.0.8103.50 voor Linux. Wie de Chrome update afwacht, loopt een risico: Google verspreidt de fix gefaseerd en zegt zelf dat het dagen tot weken kan duren voordat alle gebruikers hem hebben.

Voor IT-beheerders is dit geen kwestie van één klik op Over Google Chrome. In een pc-park van tientallen tot duizenden werkplekken zit de kwetsbaarheid ook in laptops die weken niet zijn herstart, in Chromium-browsers zoals Microsoft Edge en in thin clients of kiosksystemen die niemand dagelijks bekijkt. In dit artikel leest u wat er precies aan de hand is, waarom browserupdates in de praktijk vaak blijven hangen en hoe u de uitrol in uw organisatie aantoonbaar afrondt.

Wat er aan de hand is: CVE-2026-125350 in de XML-parser

Een use-after-free ontstaat wanneer een programma een object uit het geheugen verwijdert, maar een verwijzing naar die geheugenlocatie blijft gebruiken. In dit geval gebeurt dat in de code waarmee Chrome XML-gegevens verwerkt. Een aanvaller die zo'n fout beheerst, kan de geheugenindeling manipuleren en uiteindelijk eigen code binnen de browser uitvoeren. Daarvoor volstaat doorgaans dat een gebruiker een geprepareerde webpagina bezoekt; een download of een klik op een waarschuwing is niet nodig.

Google bevestigt in het beveiligingsbulletin dat er een exploit in omloop is, maar deelt zoals gebruikelijk geen details over de aanvallen zelf. Het bedrijf houdt technische informatie achter tot het merendeel van de gebruikers is bijgewerkt, en langer als de fout in een bibliotheek zit die ook door andere projecten wordt gebruikt. Dat laatste is bij een XML-component niet uitgesloten. Volgens Heise dicht dezelfde release in totaal negen beveiligingslekken, waarvan er dus één al actief wordt aangevallen. Heise meldt ook dat Microsoft aan een bijbehorende fix voor Edge werkt, omdat de fout in de gedeelde Chromium-basis zit.

Google classificeert het lek als high, niet als critical. Dat is gebruikelijk voor fouten die in eerste instantie binnen de sandbox van het renderproces blijven. In de praktijk combineren aanvallers zo'n fout echter met een tweede kwetsbaarheid om uit de sandbox te ontsnappen en het onderliggende Windows-, macOS- of Linux-systeem te bereiken. Dat een exploit al in omloop is, maakt dit lek voor zakelijke omgevingen urgenter dan de classificatie suggereert.

Acht Chrome-zero-days in 2026: het patroon

De fout van deze week staat niet op zichzelf. Op basis van de berichtgeving van BleepingComputer en The Register ziet de reeks van 2026 er als volgt uit: in februari een fout in de CSS-verwerking (CVE-2026-2441), in maart twee lekken in de grafische bibliotheek Skia en de JavaScript-engine V8 (CVE-2026-3909 en -3910), in april een use-after-free in Dawn, de WebGPU-implementatie (CVE-2026-5281), in juni opnieuw V8 (CVE-2026-11645), begin september twee V8-lekken kort na elkaar (CVE-2026-85046 en -87491) en nu de XML-component.

Daarmee evenaart Chrome al in november het totaal van 2025, toen Google eveneens acht actief misbruikte lekken dichtte. HP Wolf Security becijferde in een terugblik op 2025 dat gebruikers van Chromium-browsers dat jaar bij elkaar minimaal 87 dagen blootstonden aan ten minste één actief misbruikte zero-day, gerekend vanaf de eerste waargenomen aanval tot de beschikbaarheid van een patch. Veel van deze lekken worden gemeld door Googles Threat Analysis Group, die spionagecampagnes met commerciële spyware volgt. Dat betekent niet dat alleen journalisten of diplomaten doelwit zijn: zodra een exploit bekend is, duikt hij regelmatig op in bredere campagnes tegen organisaties die nog niet hebben bijgewerkt.

Waarom een Chrome update niet vanzelf overal landt

Chrome werkt zichzelf bij, maar dat mechanisme kent drie vertragingen die in een beheerde omgeving optellen.

• Gefaseerde uitrol. Google zet een nieuwe versie niet voor iedereen tegelijk klaar. Security.nl wees er bij een eerdere zero-day op dat de automatische update tot zeven dagen op zich kan laten wachten en dat wie de fix direct wil, handmatig op updates moet controleren. Bij deze update bleek de fix bij een handmatige controle wel meteen beschikbaar, zo stelde BleepingComputer vast.
• Herstart vereist. De update wordt op de achtergrond gedownload, maar is pas actief na een volledige herstart van de browser. Medewerkers die hun laptop alleen in slaapstand zetten en Chrome weken open laten staan, draaien onbedoeld nog de kwetsbare versie. Dit is in de praktijk de grootste bron van achterstand.
• Meerdere Chromium-browsers. Microsoft Edge, Brave en ingebouwde browsers in bijvoorbeeld kiosk- of signage-software gebruiken dezelfde code. Elk van die producten heeft een eigen updatedienst en eigen tijdlijn, en volgt dus een ander ritme dan Chrome.

Daar komt bij dat Google sinds Chrome 153 (8 september 2026) elke twee weken een nieuwe stabiele versie uitbrengt in plaats van elke vier weken, zo berichtten The Register en ICTMagazine. Het Extended Stable-kanaal voor organisaties houdt een cyclus van acht weken. Google adviseert volgens dezelfde bronnen het snelle kanaal als beveiliging zwaarder weegt dan beheerlast. Wie op Extended Stable zit, moet bij een noodupdate dus expliciet controleren of de fix ook in dat kanaal is geland en welk versienummer daarbij hoort.

Wat dit betekent voor uw organisatie

Kleine organisatie zonder centraal browserbeheer

Hier draait het om snelheid en zichtbaarheid. Vraag medewerkers vandaag om via Menu, Help, Over Google Chrome de update te installeren en de browser daarna volledig af te sluiten en opnieuw te starten. Doe hetzelfde voor Edge via Instellingen, Over Microsoft Edge zodra Microsoft de fix beschikbaar stelt. Controleer vervolgens steekproefsgewijs het versienummer: alles vanaf 157.0.8103.50 is in orde. Overweeg dit moment om alsnog de beleidssjablonen (ADMX) van Google in te zetten; ook zonder domein zijn ze lokaal toe te passen.

Middelgrote organisatie met Active Directory of Intune

U hebt de middelen om de update af te dwingen in plaats van erom te vragen. Chrome ondersteunt al sinds versie 66 beleid om gebruikers een herstartmelding te tonen en een herstart na een ingesteld aantal dagen te verplichten, zo meldde Security.nl destijds op basis van Googles eigen advies voor beheerders. Zet dat beleid nu tijdelijk strakker: een verplichte herstart binnen 24 uur in plaats van de gebruikelijke termijn van enkele dagen. Controleer daarnaast of het Google Update-beleid updates daadwerkelijk toestaat; in sommige omgevingen staat dit ooit op alleen handmatig gezet en is dat nooit teruggedraaid.

Grote organisatie met Extended Stable en testcyclus

Een achtwekelijkse cyclus geeft rust voor applicatietests, maar bij een actief misbruikte zero-day is wachten op de volgende geplande release geen optie. Spreek vooraf een uitzonderingsprocedure af: bij een exploit in het wild gaat de beveiligingsfix met een verkorte test naar productie, desnoods als tussentijdse MSI-uitrol via uw softwaredistributie. Met Chrome Enterprise Core, de opvolger van Chrome Browser Cloud Management, kunt u volgens Heise beleid centraal distribueren, browsers in groepen beheren en de beheerde browsers monitoren, zodat u ziet welke versies waar draaien.

Thin clients, VDI en kiosksystemen

Vergeet de werkplekken zonder vaste gebruiker niet. Een gedeelde VDI-image of een thin-clientfirmware met ingebouwde Chromium-browser wordt pas veilig als het beeld opnieuw wordt gebouwd en uitgerold. Plan die rebuild deze week en leg vast wie daarvoor verantwoordelijk is. Kiosk- en signage-pc's die een webpagina tonen, zijn juist aantrekkelijke doelen omdat ze vaak jarenlang onopgemerkt dezelfde browserversie draaien.

Chrome zero-day update zakelijk uitrollen: stappenplan

1. Inventariseer. Haal uit uw beheertool (Intune, Configuration Manager, een RMM-oplossing of Chrome Enterprise Core) een lijst van alle geïnstalleerde Chrome- en Edge-versies. Zonder nulmeting kunt u later niet aantonen dat de uitrol compleet is.
2. Dwing de update af. Controleer het Google Update-beleid, start waar mogelijk een updatecontrole op afstand en rol anders het MSI-pakket van versie 157.0.8103.50 of hoger uit via uw softwaredistributie.
3. Dwing de herstart af. Stel de herstartmelding tijdelijk op verplicht met een korte termijn. Een gedownloade maar niet geactiveerde update biedt geen bescherming.
4. Neem Edge en andere Chromium-browsers mee. Houd de releaseopmerkingen van Microsoft in de gaten en behandel de Edge-fix met dezelfde prioriteit zodra die verschijnt. Inventariseer ook applicaties met ingebouwde Chromium-componenten, zoals Electron-apps en kiosksoftware.
5. Controleer en rapporteer. Draai na 48 uur dezelfde inventarisatie opnieuw en werk de achterblijvers handmatig weg. Leg het resultaat vast voor uw interne verantwoording of voor een audit.
6. Evalueer het updatekanaal. Acht zero-days in één jaar is geen incident maar een structureel gegeven. Bekijk of het tweewekelijkse Stable-kanaal haalbaar is voor het merendeel van uw werkplekken en reserveer Extended Stable voor de systemen waar applicatiecompatibiliteit echt kritiek is.

Stuit u bij deze inventarisatie op werkplekken die niet meer bij te werken zijn, bijvoorbeeld door een besturingssysteem dat de huidige Chrome-versie niet meer ondersteunt, neem die apparaten dan mee in de vervangingsplanning. Actuele zakelijke notebooks en pc's en workstations ondersteunen de hardwarematige beveiligingsfuncties van moderne besturingssystemen, die de impact van een geslaagde browserexploit beperken. Voor gedeelde werkplekken bieden centraal beheerde thin clients het voordeel dat één image-update het hele park dekt.

Veelgestelde vragen over de Chrome update