Chrome 151 tetter 411 sikkerhetshull – men mennesker finner fortsatt det AI overser

Den første oppdateringen, 29. juli, fjernet 370 feil, hvorav sju var klassifisert som kritiske. Oppfølgeren 7. august rettet ytterligere 41 kritiske og alvorlige sårbarheter, inkludert seks kritiske feil .

Det mest interessante er likevel ikke bare tallet 411. Chrome 151 gir også et innblikk i hvordan moderne nettleserfeil blir funnet: Googles interne fuzzing- og sanitiseringsverktøy oppdaget det store flertallet, mens eksterne sikkerhetsforskere fant feil som krevde mer kreativ og målrettet analyse.

To oppdateringer, én stor opprydding

29. juli: 370 sårbarheter og sju kritiske feil

Den første stabile oppdateringen kom som Chrome 151.0.7922.71/.72 for Windows og macOS, og 151.0.7922.71 for Linux. Tilsvarende versjoner ble også rullet ut til Android .

De sju kritiske CVE-ene, CVE-2026-17650 til CVE-2026-17656, omfattet blant annet:

• «Use-after-free»-feil i Compositing, Views, Skia og Ozone .
• Mangelfull validering av innhold i Dawn og ANGLE, Googles grafikk- og oversettelseslag .
• En kappløpsfeil i Updater-komponenten .

Den mest presserende saken var CVE-2026-11645, en «out-of-bounds»-lese- og skrivefeil i V8, JavaScript-motoren i Chrome. Sårbarheten har en CVSS-score på 8,8 og sto allerede på CISA-listen over kjente sårbarheter som blir aktivt utnyttet. Det betyr at angripere hadde tatt feilen i bruk før oppdateringen ble sluppet .

7. august: 41 nye feil

Den andre oppdateringen ble levert som 151.0.7922.108/.109 for Windows og macOS. For Linux ble versjon 151.0.7922.108 oppgitt i tilgjengelig dokumentasjon .

Oppdateringen rettet seks kritiske og 35 alvorlige sårbarheter. De kritiske feilene besto av:

• Fem «use-after-free»-sårbarheter i WebGL, Aura, Skia og Views .
• En «out-of-bounds»-skrivefeil i ANGLE, Chromes grafikkmotor .

Av de 35 alvorlige feilene var 24 knyttet til minnesikkerhet – en feiltype som blant annet kan føre til krasj, minnekorrupsjon eller kjøring av skadevarekode .

Hvorfor noen omtaler tallet 382

Det finnes også tidlige rapporter fra slutten av juni som omtaler en Chrome-oppdatering med 382 rettede sårbarheter, inkludert 15 kritiske. Rapporteringen er imidlertid uklar på om dette gjelder overlappende rettinger eller en tidligere kanal- og byggversjon .

Tallet 411 i denne artikkelen bygger på de to tydelig dokumenterte stabile oppdateringene på henholdsvis 370 og 41 feil.

Hvem fant feilene?

I den første oppdateringen ble eksterne forskere kreditert for rundt 21–24 funn. Belønningene varierte fra 2 000 til 36 000 dollar. Den største enkeltutbetalingen var 36 000 dollar for en «use-after-free»-feil i GPU-komponenten, CVE-2026-13789 .

I augustoppdateringen sto eksterne forskere bak 12 av 41 funn – nær 30 prosent. Blant dem var Muhammad Alifa Ramdhan, Pan ZhenPeng og Billy Jheng Bing Jhong fra STAR Labs SG Pte. Ltd., som rapporterte en «use-after-free»-feil i WebGL, CVE-2026-19170 . En annen kritisk WebGL-feil, CVE-2026-19137, ble rapportert anonymt .

Google utbetalte også 5 000 dollar til SungHyun Kim for CVE-2026-19169, en feil i valideringen av innhold i Contextual Tasks .

Hva fant automatiseringen?

Googles interne sikkerhetsarbeid bygger blant annet på verktøy som AddressSanitizer, MemorySanitizer og Control Flow Integrity. De brukes til å oppdage mønstre som kan føre til minnekorrupsjon, ugyldige minneoppslag eller brudd på kontrollflyten .

Fuzzing betyr i praksis at programmet utsettes for store mengder automatisk genererte og uventede data. Moderne systemer bruker også maskinlæring for å styre testingen mot kodeområder som ser spesielt komplekse eller risikable ut .

Denne typen automatisering er svært god på det som kan kalles «kjente ukjente» – feil som følger mønstre verktøyene allerede kan lete etter. «Use-after-free», bufferoverflyt og uinitialisert minne er eksempler på slike mønstre.

I julioppdateringen fant Google selv 349 av de 370 feilene, ifølge flere sikkerhetsrapporter .

Hva fant menneskene som verktøyene ikke fant?

Bug bounty-forskere bidro med færre funn i antall, men funnene kan være strategisk viktige. Menneskelige forskere kan undersøke hvordan flere komponenter påvirker hverandre, teste uvanlige rekkefølger av hendelser og tenke som en angriper på en måte som ikke nødvendigvis kan beskrives på forhånd i en fuzzer.

Det kan for eksempel handle om:

• Sårbarheter som oppstår først når flere komponenter kombineres.
• Kappløpsfeil der tidspunktet mellom to operasjoner er avgjørende.
• Uvanlige programforløp og grenseverdier som automatiske tester ikke utløser.
• Feil som kan lenkes sammen til en større angrepskjede.

Augustoppdateringen er et tydelig eksempel: 12 av de 41 alvorlige og kritiske feilene kom fra eksterne forskere, og to av de kritiske feilene gjaldt WebGL . Det betyr ikke at mennesker fant flest feil totalt, men at de fortsatt fyller et hull som automatiserte systemer ikke dekker alene.

Rust som forebygging

Chrome 151 inneholdt også et viktig arkitekturgrep som ikke var en konkret feilretting. Google oppdaterte XML-motoren sin til en minnesikker implementasjon i Rust for vanlige scenarier der XSLT ikke er nødvendig .

Rust kan forhindre hele klasser av minnesikkerhetsfeil før de oppstår, blant annet enkelte «use-after-free»-feil og bufferoverflyt. Språket løser likevel ikke logiske feil eller svakheter i selve designet.

Det er særlig relevant for Chrome, der mange kritiske feil fortsatt handler om minnehåndtering. Rust, sanitiseringsverktøy, fuzzing og manuell sikkerhetsanalyse angriper derfor problemet fra ulike kanter.

Konklusjonen: AI erstatter ikke sikkerhetsforskeren

Chrome 151 peker mot en modell der mennesker og AI-baserte verktøy utfyller hverandre – ikke mot at den ene erstatter den andre.

• Automatisering gir volum og bredde. Fuzzing og sanitiseringsverktøy kan teste enorme mengder kode og er spesielt gode på kjente minnesikkerhetsmønstre .
• Mennesker gir dybde og nyhet. Sikkerhetsforskere kan resonnere rundt uventede samspill, kappløpsforhold og angrepskjeder som ikke er definert på forhånd .
• Den mest effektive modellen er menneskestyrt automatisering. Maskinene tar den brede og repeterende jobben, mens mennesker kan konsentrere seg om logikkfeil og de mer uforutsigbare «ukjente ukjente».

At Chrome 151 samlet fikk 411 rettinger, skyldes nettopp denne kombinasjonen. Den store mengden automatiserte funn viser hvor langt verktøyene har kommet. De eksterne funnene viser samtidig hvorfor menneskelig kreativitet fortsatt er en viktig del av sikkerhetsarbeidet.

Dette bør Chrome-brukere gjøre

Chrome på datamaskiner oppdateres normalt automatisk. Du kan kontrollere versjonen ved å åpne Innstillinger → Om Chrome og se etter 151.0.7922.108/.109 eller en nyere versjon .

På Android bør du åpne Google Play og kontrollere at Chrome er oppdatert. Den første Chrome 151-oppdateringen ble distribuert som 151.0.7922.71/.72 til Android .

Siden CVE-2026-11645 allerede ble aktivt utnyttet da den ble rettet, er det lurt å installere oppdateringen så snart den er tilgjengelig .