KMO-IMPACT: DRINGEND — Installeer vandaag Google Chrome 153. Google dicht CVE-2026-87491, een out-of-bounds write in de V8-engine. Google schrijft dat er al een exploit in the wild bestaat. Wie een oude build openhoudt, blijft bereikbaar via een gewone, kwaadaardige webpagina.
Wat Google en CISA concreet melden
Op dinsdag 8 september 2026 bracht Google Chrome 153 naar het stable-kanaal. De vaste builds zijn 153.0.8010.36 op Linux en 153.0.8010.36 / .37 op Windows en Mac. In die update zitten 230 beveiligingsfixes.
CVE-2026-87491 is bij Chromium als Medium gelabeld, maar het effect is zwaar genoeg: een aanvaller kan via een crafted HTML-pagina willekeurige code laten lopen binnen de Chrome-sandbox. Dat is geen sandbox-escape naar het hele OS, wel remote code execution in de browsercontext. Google noteert expliciet: “aware that an exploit for CVE-2026-87491 exists in the wild.”
Op woensdag 9 september 2026 zette CISA het lek op de Known Exploited Vulnerabilities-lijst, met deadline woensdag 23 september 2026 voor federale Amerikaanse omgevingen. CISA wijst erop dat Chromium-browsers geraakt kunnen zijn — naast Chrome ook onder meer Microsoft Edge en Opera.
Wat betekent dit voor uw onderneming?
Voor wie: elke zaakvoerder, zelfstandige of IT-verantwoordelijke met Chrome (of Edge/Opera op Chromium) op werk-pc’s, laptops van medewerkers of gedeelde kassa-/balietoestellen in Vlaanderen of België.
Vanaf wanneer: update beschikbaar sinds dinsdag 8 september 2026; CISA-deadline woensdag 23 september 2026 is een externe referentie, geen Belgische wetstermijn — voor u telt “vandaag”, niet die Amerikaanse datum.
Financiële impact: niet becijferd. Risico is datadiefstal, phishing-sessies of stilstand nadat een medewerker een gevaarlijke pagina opent.
Wat moet u doen: open Chrome → Help → Over Google Chrome en wacht tot minstens 153.0.8010.36 (Linux) of 153.0.8010.36/.37 (Windows/Mac) staat. Herstart de browser. Doe hetzelfde op Edge als die Chromium-updates volgt. Forceer de rollout via MDM of groepsbeleid als u een vloot beheert; “gedownload maar niet herstart” telt niet als gepatcht.
Deadline: vandaag — actieve exploit in the wild.
Nog niet duidelijk: hoe breed de exploit buiten de CISA-context circuleert; Google houdt technische details beperkt tot genoeg gebruikers de patch hebben.
Praktisch: check, herstart, beheer
Op een kmo zonder centraal patchbeheer begint u bij de toestellen waarmee u bankzaken, klantportalen of boekhouding doet. Noteer de build vóór en na de update. Werkt u met een externe IT-partner: geef vandaag de opdracht om Chrome én Chromium-Edge in één policy te forceren en een herstart te plannen buiten piekuren.
CVE-2026-87491 in Chrome 153 komt bovenop eerdere kritieke Chrome-lekken van begin september; die eerdere updates blijven nodig naast deze build.
