Het lek dat Google gemiddeld noemt

Op 8 september bracht Google Chrome 153 uit naar het stabiele kanaal voor Windows, Mac en Linux, en sloot daarmee in stilte CVE-2026-87491, een out-of-bounds schrijffout in V8, de engine die elk script uitvoert op elke pagina die een Chrome-gebruiker opent. In diezelfde release notes schreef Google's eigen beveiligingsteam de zin die er echt toe doet: "Google weet dat er een exploit voor CVE-2026-87491 in omloop is." Een speciaal geprepareerde webpagina volstaat om het te activeren, en een geslaagde aanval laat een aanvaller willekeurige code uitvoeren binnen de sandbox van de browser.

Kijk je echter naar de ernst-kolom naast de CVE, dan geeft Chromium's eigen bugtracker het lek de classificatie gemiddeld. Niet kritiek, zelfs geen hoog. De onderzoekster die het vond en meldde, Jihyeon Jeong van het Compsec Lab aan de Seoul National University, kreeg een beloning van 2.500 dollar, een middenklasse-bedrag dat past bij het middenklasse-label. Aan de fix zelf valt geen urgentie af te lezen. Aan hoe het lek werd gebruikt wel.

Waarom de CISA het niet eens is met het label

Het Amerikaanse agentschap voor cyberbeveiliging en infrastructuurbeveiliging beoordeelt lekken niet op basis van hoe ernstig ze theoretisch zouden kunnen zijn. Het houdt één lijst bij, de lijst van bekende misbruikte kwetsbaarheden, en het enige dat een CVE op die lijst krijgt is bewijs dat iemand hem al gebruikt tegen echte doelwitten. CVE-2026-87491 staat nu op die lijst, geregistreerd onder Google, Chromium V8, met een hersteltermijn tot 23 september 2026, vijftien dagen na het uitbrengen van de patch.

Die termijn van vijftien dagen is een verplichting voor Amerikaanse civiele federale instanties, geen EU-verplichting, dus die bindt geen enkele Servola-lezer rechtstreeks. Wat het wel oplevert is iets nuttigers dan een wettelijke verplichting: een tweede, onafhankelijk signaal, volledig gebaseerd op bewijs van misbruik in plaats van op de eigen classificatie van een leverancier, en dat signaal viel op een lek dat Chromium's eigen tracker nog steeds gemiddeld noemt. Wanneer de twee zo sterk van mening verschillen, is de KEV-vermelding degene die weergeeft wat er op dit moment echt op internet gebeurt.

Vier zero-days, één engine

CVE-2026-87491 staat niet op zichzelf. Het is het zevende Chrome zero-day-lek dat Google in 2026 heeft bevestigd als actief misbruikt, en het kwam slechts vier dagen na het zesde, CVE-2026-85046, weer een V8-lek dat op 3 september werd gepatcht. Vier van de zeven dit jaar bevestigde zero-days zitten specifiek in V8, de JavaScript- en WebAssembly-engine die Chrome, Edge, Opera, Brave en elke andere op Chromium gebaseerde browser delen.

Die concentratie is geen toeval van wat er dit jaar toevallig werd gemeld. V8 is een van de meest gefuzzte en best beloonde onderdelen van de browser, wat betekent dat aanvallers die daar echt iets vinden een component in handen krijgen dat op vrijwel elke desktop en telefoon ter wereld draait, geen nicheonderdeel dat slechts een fractie van de gebruikers heeft ingeschakeld. Vier treffers in één engine binnen negen maanden leest minder als pech en meer als een bewuste keuze van aanvallers over waar het waardevolste werk zit.

Wat dit betekent voor een EU-beveiligingsteam

De meeste programma's voor kwetsbaarheidsbeheer stellen nog steeds eerst prioriteiten op basis van de ernstclassificatie van de leverancier, en pas daarna, als ze het al controleren, op basis van de misbruikstatus. Dit lek is het argument tegen die volgorde. Een team dat kritieke en hoge classificaties meteen patcht en gemiddelde laat liggen tot het volgende onderhoudsvenster, zou CVE-2026-87491 wekenlang open hebben gelaten terwijl het al werd misbruikt, omdat het label zei dat het kon wachten.

De fix zelf kost niets meer dan de gebruikelijke patchcyclus: Chrome werkt zichzelf op de meeste beheerde en onbeheerde machines binnen enkele dagen automatisch bij naar versie 153.0.8010.36 of hoger, en het versienummer controleren onder Chrome's instellingen bevestigt dat. De duurzamere verandering is procedureel. De NIS2-verwachting van kwetsbaarheidsbeheer volgens de laatste stand van de techniek is makkelijker waar te maken door de CISA KEV-feed rechtstreeks in een patchprioriteitenwachtrij op te nemen dan door erop te vertrouwen dat de eigen ernstclassificatie van een leverancier elk actief misbruikt lek op tijd opvangt, want dit geval toont aan dat die classificatie dat niet doet.

Servola Journal

Wij doen dit voor iedereen die probeert bij te houden wat technologie met ons leven doet. De mensen die het bouwen, en de mensen die het overkomt. Het Servola Journal bestaat zodat wat wij leren van hen allemaal is.

Niemand betaalt ons hiervoor. Geen advertenties, geen betaalmuur, gratis voor iedereen. Wij geloven gewoon dat begrijpen wat er met ons allemaal gebeurt niet mag afhangen van wie het zich kan veroorloven ervoor te betalen.

Als dit je vandaag iets heeft gebracht, laat het ons weten en zeg dat we door moeten gaan. Volg ons, laat een like achter of schrijf een positieve reactie. Wij lezen ze allemaal, en dat is wat ons op de been houdt.

Lees hierna: Uitgebuit Weken Voordat PaperCut Patchte  |  EU-Beveiligingsteams Hebben Niets Te Zeggen Over Astra