CVE-2026-11645 Chrome-sårbarhet

Google har släppt säkerhetsuppdateringar för att åtgärda ytterligare en aktivt utnyttjad zero-day-sårbarhet i Chrome-webbläsaren. Felet, spårat som CVE-2026-11645, markerar den femte zero-day-patchen för Chrome som företaget har uppdaterat sedan början av 2026.

Enligt Google bekräftar bevisen att ett exploit som riktar sig mot denna sårbarhet redan används i verkliga attacker. Problemet rapporterades anonymt till företaget, och en åtgärd distribuerades därefter via Stable Desktop-kanalen.

Uppdaterade versioner lanseras för närvarande globalt för Windows (149.0.7827.102), macOS (149.0.7827.103) och Linux (149.0.7827.102). Uppdateringsprocessen kan dock ta flera dagar eller till och med veckor innan den når alla Chrome-användare.

För de som inte installerar uppdateringar manuellt är Chrome utformat för att automatiskt söka efter och tillämpa tillgängliga säkerhetskorrigeringar vid nästa webbläsarstart.

Inuti CVE-2026-11645: Ett farligt fel i V8-motorn

Den allvarliga sårbarheten härrör från en svaghet i läs- och skrivfunktioner utanför gränserna i Chromes V8 JavaScript-motor. Angripare kan utnyttja felet genom specialdesignade HTML-sidor, vilket potentiellt möjliggör exekvering av godtycklig kod i webbläsarens sandlådemiljö.

Lyckad exploatering kan leda till heap-korruption, vilket gör att angripare kan komma åt minne utanför avsedda gränser. Detta beteende kan exponera känslig information, orsaka webbläsarkrascher eller underlätta ytterligare skadlig aktivitet.

Utöver obehörig minnesåtkomst kan sårbarheten också utnyttjas för att kringgå säkerhetsskydd som Address Space Layout Randomization (ASLR), vilket ökar sannolikheten för att uppnå kodkörning i kombination med andra svagheter.

Begränsad information för att skydda användare

Även om Google har erkänt att de aktivt utnyttjat sårbarheten har företaget ännu inte avslöjat tekniska detaljer kring attackerna. Åtkomst till bugginformation och relaterade resurser kan förbli begränsad tills en betydande del av Chrome-användarna har installerat säkerhetsuppdateringen.

Begränsningar kan också fortsätta om den berörda koden finns i tredjepartsbibliotek som används av andra projekt och ännu inte har implementerat sina egna korrigeringar.

En växande lista över nolldagshot år 2026

CVE-2026-11645 ansluter sig till flera andra zero-day-attacker i Chrome som aktivt har utnyttjats i år:

• CVE-2026-2441 – En sårbarhet för iterator-ogiltigförklaring i CSSFontFeatureValuesMap, uppdaterad i februari.

• CVE-2026-3909 – Ett skrivfel utanför gränserna i Skias 2D-grafikbibliotek, utnyttjat i mars.

• CVE-2026-3910 – En sårbarhet i felaktig implementering som påverkar V8 JavaScript- och WebAssembly-motorn, som också utnyttjades i mars.

• CVE-2026-5281 – En sårbarhet där applikationen kan användas efter att den har släppts i Dawn, Chromiums plattformsoberoende WebGPU-implementering, uppdaterad i april.

Chromes pågående kamp mot nolldagsangrepp

Den senaste nöduppdateringen belyser det ihållande hotet från zero-day-sårbarheter riktade mot moderna webbläsare. Under 2025 åtgärdade Google ytterligare åtta zero-day-sårbarheter i Chrome som utnyttjades i det fria. Flera av dessa sårbarheter identifierades av Googles Threat Analysis Group (TAG), ett specialiserat team känt för att spåra sofistikerade cyberspionageoperationer och spionprogramkampanjer.

Den fortsatta upptäckten av aktivt utnyttjade brister understryker vikten av snabba webbläsaruppdateringar och snabb åtgärd av sårbarheter för att skydda användare mot framväxande cyberhot.