Chrome 157 dicht 213 beveiligingslekken: zo werk je je browser bij

Google heeft Chrome 157 uitgebracht, en die update is groter dan gewoonlijk: er zitten 213 beveiligingsfixes in. Google noemt er zelf 7 kritiek en 77 hoog; de rest is middel (75) of laag (54). Er is geen actief misbruik gemeld, maar omdat veel van deze lekken via een gewone webpagina te misbruiken zijn, is bijwerken verstandig. De nieuwe versie is 157.0.8103.38 voor Linux en 157.0.8103.38/.39 voor Windows en Mac. Google rolt de update de komende dagen tot weken uit, dus wie niet wil wachten, kan zelf bijwerken.

Wat valt op?

• Veel fouten in de JavaScript-motor. Minstens dertien van de lekken met ernst hoog of kritiek zitten in V8, het onderdeel dat JavaScript uitvoert. Het gaat vooral om typeverwarring (type confusion) en race conditions, een klassieke route om via een webpagina code uit te voeren.
• Grafische onderdelen zijn een zwakke plek. Minstens zestien lekken zitten in onderdelen die beelden en 3D tekenen, zoals ANGLE, Dawn, WebGPU, WebGL, Skia en de GPU-code. Daaronder zitten veel van de zwaarste lekken.
• Geheugenfouten overheersen. Het grootste deel van de lijst bestaat uit use-after-free-fouten en bufferoverlopen: geheugen dat wordt gebruikt nadat het is vrijgegeven, of gegevens die buiten hun grenzen worden geschreven.
• Ook Chrome op je telefoon. Meerdere lekken gelden specifiek voor Chrome op Android of op iOS, en een paar alleen voor Chrome op de Mac. Die versies werk je bij via de Play Store of de App Store.
• Veel gevonden door Google zelf. Volgens de aankondiging is een groot deel van de lekken door Google intern ontdekt, onder andere met automatische testtools. Ook OpenAI Codex Security meldde meerdere lekken.
• Scores lopen uiteen. Wij tellen 31 lekken als kritiek, Google zelf 7. Dat komt doordat wij de CVSS-score van de Amerikaanse CISA gebruiken, en die ligt bij veel Chrome-lekken op 9,6. Google beoordeelt dezelfde lekken vaak als hoog.

Wat betekent dit voor jou?

Thuis: Chrome werkt zichzelf bij, maar de nieuwe versie is pas actief nadat je de browser opnieuw hebt gestart. Laat Chrome dus niet dagenlang openstaan. Op het werk: controleer of de update via je beheertools overal wordt uitgerold, ook op laptops die weinig op het netwerk komen. Andere browsers op basis van Chromium, zoals Microsoft Edge, Brave en Opera, delen veel van deze code. Houd ook hun updates de komende dagen in de gaten.

• 213 lekken opgelost volgens Google
• 115 met een CVSS-score van 7,0 of hoger (tabel hieronder)
• 31 kritiek, 84 hoog (volgens de CVSS-score; Google zelf noemt er 7 kritiek)
• Opgelost in versie 157.0.8103.38 (Windows en Mac ook .39)

Alle lekken in deze update

Lekken met een eigen pagina op LekkenRadar zijn gelinkt. Bij de andere lekken verwijzen we naar de NVD.

Bronnen

• Google: Stable Channel Update for Desktop (3 november 2026)