Google tetter nulldagssårbarhet i Chrome som utnyttes aktivt

Google har sluppet en oppdatering utenom vanlig syklus for å rette en alvorlig sårbarhet i Chrome som utnyttes aktivt. Feilen ligger i nettleserens CSS-komponent, har fått betegnelsen CVE-2026-2441 og en CVSS-score på 8.8. Utnyttet kan den la en angriper kjøre vilkårlig kode i nettleserens sandkasse dersom brukeren lokkes til å besøke en manipulert nettside. Berørte versjoner er Chrome for Windows og Mac før 145.0.7632.75/76 og Chrome for Linux før 144.0.7559.7. Oppdateringer er også tilgjengelige for de fleste Chromium-baserte nettlesere, blant annet Opera og Vivaldi.

Hva det betyr for virksomheten

Nettleseren er i praksis arbeidsflaten der de fleste ansatte har tilgang til fagsystemer, e-post og skytjenester. En sårbarhet som utløses ved å besøke en nettside krever ingen annen handling fra brukeren enn et klikk, og den utnyttes allerede. Tiden fra oppdatering til utrulling er derfor det som avgjør eksponeringen, ikke om dere har rutiner på papiret.

Berigo anbefaler

• Tving fram omstart av nettleseren på alle klienter, siden en nedlastet Chrome-oppdatering først trer i kraft etter omstart.
• Kontroller i endepunktsforvaltningen hvor mange klienter som fortsatt kjører versjoner under 145.0.7632.75.
• Husk Chromium-baserte alternativer som Opera, Vivaldi og Edge i samme runde.
• Sett en intern frist for utrulling av nettleseroppdateringer som utnyttes aktivt, målt i dager, ikke uker.

Kilde

• chromereleases.googleblog.com