Google heeft op 9 november 2026 een update voor Chrome uitgebracht die een kwetsbaarheid dicht die al door aanvallers wordt gebruikt. Het gaat om CVE-2026-125350, een fout in de XML-verwerking van de browser. Via een kwaadaardige webpagina kan een aanvaller daarmee code uitvoeren in de browser. Google meldt dat het “op de hoogte is dat er een exploit voor CVE-2026-125350 in omloop is”. Het is de achtste misbruikte Chrome zero-day van 2026.
Edge, Brave, Opera en Vivaldi draaien op dezelfde Chromium-code en zijn dus ook kwetsbaar tot hun leverancier de fix uitbrengt.
De kwetsbaarheid in het kort
| Wat | Use-after-free in de XML-component van Chrome. De publieke Chromium-patch zit in libxslt, de bibliotheek die XML met XSLT-stylesheets omzet. |
|---|---|
| Ernst | Hoog volgens Google. Een CVSS-score is nog niet gepubliceerd. |
| Misbruik | Bevestigd door Google. Wie de aanvallers zijn en wie het doelwit is, is niet bekendgemaakt. |
| Tijdlijn | Gemeld op 6 november door een anonieme onderzoeker, patch op 9 november 2026. |
| Opgelost in | Chrome 157.0.8103.50/.51 op Windows en Mac, 157.0.8103.50 op Linux en Android. |
| CISA KEV | Op 10 november nog niet opgenomen. Wacht daar niet op. |
Status per browser
Stand op 10 november 2026:
- Google Chrome: patch beschikbaar. Update naar 157.0.8103.50 of hoger. Chrome op Android krijgt de update de komende dagen via Google Play.
- Microsoft Edge: nog geen patch. Microsoft schrijft op 9 november dat het op de hoogte is van misbruik en aan een fix werkt. De huidige versie 157.0.4341.42 is van 5 november, van vóór de fix.
- Brave: nog geen patch. De huidige versie 1.99.55 (5 november) draait op Chromium 157.0.8103.39.
- Opera: patch beschikbaar in Opera 140 (10 november). De release notes noemen CVE-2026-125350 als opgelost.
- Vivaldi: patch beschikbaar in de update van 10 november voor Vivaldi 8.3 op desktop. Die noemt CVE-2026-125350 als opgelost.
Ook apps die op Chromium draaien, zoals Electron-apps en WebView2, volgen de updates van hun eigen leverancier.
Wat je nu doet
- Update Chrome en forceer een herstart. Chrome downloadt de update vanzelf, maar de fix werkt pas na een herstart. Rol 157.0.8103.50 uit via Intune of je patchtool en dwing de herstart af met de policy voor herstartmeldingen (RelaunchNotification). Wie zijn browser weken openlaat, blijft anders kwetsbaar.
- Inventariseer alle Chromium-browsers. Breng Edge, Brave, Opera en Vivaldi in kaart, ook de installaties die gebruikers zelf hebben neergezet. Update Opera en Vivaldi nu, en Edge en Brave zodra hun patch er is.
- Overbrug de tijd tot de patch. De fout zit in de XSLT-verwerking. Met de policy
XSLTEnableduit (waarde 0) zet je XSLT in de browser uit. Test dat eerst: sommige oudere webtoepassingen hebben XSLT nodig. - Let op signalen. Onverwachte crashes van browserprocessen en nieuwe processen die door de browser worden gestart, verdienen een tweede blik.
Ook in deze update
Dezelfde Chrome-update dicht nog meer kwetsbaarheden met ernst hoog, waaronder een tweede fout in de XML-verwerking (CVE-2026-125346) en een fout in de JavaScript-engine V8 (CVE-2026-125344). Volgens Google worden die niet misbruikt, maar het is nog een reden om niet te wachten.
Structureel: beheer browsers centraal
Dit is de achtste Chrome zero-day dit jaar. Wie browsers centraal beheert, is bij de volgende binnen een dag klaar.
- Eén bron. Kies welke browsers zijn toegestaan en rol ze uit via Intune, Company Portal of je softwarecatalogus. Blokkeer installaties die gebruikers zelf in hun profielmap zetten; die vallen buiten je updates.
- Automatisch updaten. Zet automatische updates via policy aan en zorg dat gebruikers ze niet kunnen uitzetten, op Windows en macOS.
- Herstart afdwingen. Stel RelaunchNotification in op verplicht, met een vaste termijn. Bij een actief misbruikte kwetsbaarheid kort je die termijn in.
- Uitrol in ringen. Eerst een kleine pilotgroep, daarna iedereen. Spreek vaste termijnen af: zero-days binnen 48 uur, reguliere updates binnen 7 dagen.
- Meten. Rapporteer wekelijks welke apparaten een verouderde browser draaien, bijvoorbeeld met Defender Vulnerability Management. Wat je niet ziet, patch je niet.
Compliance
- Cbw / NIS2: tijdig patchen van actief misbruikte kwetsbaarheden hoort bij je zorgplicht.
- Meldplicht: bij een significant incident binnen 24 uur een vroegtijdige waarschuwing aan het CSIRT.
- AVG: een overgenomen werkplek met toegang tot persoonsgegevens kan een meldplichtig datalek zijn.
Hulp nodig bij het uitrollen van browserupdates of het centraal beheren van je werkplekken? Bekijk onze IT-ondersteuning of neem contact op.
Bronnen
- Google Chrome Releases: Stable Channel Update for Desktop (9 november 2026)
- Microsoft Learn: Release notes for Microsoft Edge Security Updates (9 november 2026)
- Opera: Opera 140 Stable (10 november 2026)
- Vivaldi: Minor update (2) for Desktop 8.3 (10 november 2026)
- Brave: release notes
- The Hacker News: Google Issues Chrome Security Update for Eighth Actively Exploited Zero-Day of 2026 (november 2026)
- Ostorlab: Chrome XSLT Use-After-Free Exploited in the Wild (CVE-2026-125350)
- CISA: Known Exploited Vulnerabilities Catalog