Den 6. mai 2026 offentliggjorde Google og Microsoft i fellesskap CVE-2026-7896 – en kritisk heltallsoverflyt i Blink, gjengivelsesmotoren bak Chrome, Edge, Opera, Brave og alle andre Chromium-baserte nettlesere. Rettelsen kom i Chrome og Edge 148.0.7778.96. Alle versjoner under denne er sårbare for fjernkjøring av kode via en manipulert HTML-side – ingen filnedlasting, ingen makro, ingen brukerinteraksjon utover å laste inn siden. Sårbarheten gjelder alle Windows-endepunkter der nettleseren ennå ikke er startet på nytt og har tatt i bruk den ventende oppdateringen. Det omfatter bærbare PC-er som har stått på i flere dager uten omstart, VDI-økter som aldri avsluttes, kiosker, delte arbeidsstasjoner og alle endepunkter der virksomhetens oppdateringspolicyer forsinker eller utsetter utrullingen. Det første operative spørsmålet er ikke teoretisk. Det er: Hvor mange av de administrerte endepunktene våre kjører fortsatt et Chromium-bygg under 148.0.7778.96 akkurat nå? Hvis svaret er «vi tror de fleste er patchet», er det ikke et svar. Det er et håp.
Hvorfor CVE-er i nettlesere er annerledes enn Patch Tuesday for operativsystemet
OS-patcher følger en forutsigbar månedlig rytme: Volumet varierer, slik Patch Tuesday i juni 2026 viste, men datoen ligger fast. Nettleseroppdateringer gjør ikke det. Chromium slipper nye versjoner i et raskere tempo – noen ganger med kritiske minnesikkerhetsfeil gjemt i det som for brukerne ser ut som en liten punktoppdatering. Patchen finnes i det øyeblikket versjonen slippes. Gapet ligger ikke mellom offentliggjøring og rettelse; det ligger mellom rettelsen og endepunktet som kjører den. CVE-2026-7896 viser hvorfor dette betyr noe. Som analysen fra Windows Forum påpeker, er en fullt oppdatert Windows 11-maskin med en utdatert nettleser ikke et fullt patchet endepunkt i noen meningsfull sikkerhetsforstand. Operativsystemet kan være oppdatert. Angrepsflaten er det ikke. Virksomhetsmiljøer forsterker dette. Mange virksomheter kjører både Chrome og Edge – Chrome på utviklermaskiner, Edge på vanlige arbeidsstasjoner, Chromium-basert WebView2 inne i forretningsapplikasjoner og av og til flere Chromium-bygg for kompatibilitetstesting. Én enkelt Blink-CVE kan bli en skattejakt på tvers av flere verktøy og nettleseroversikter som ingen enkelt policy kontrollerer fullt ut. Policyer for nettleseroppdateringer – Group Policy, Chrome Enterprise, Microsoft Intune – setter oppdateringen i kø. De bekrefter ikke, per enhet, at nettleseren er startet på nytt og at den nye versjonen kjører. Det er i det gapet eksponeringen ligger.
Slik viser CapaOne hvilke nettleserversjoner som kjører i hele enhetsparken
CapaOnes Application Manager har en programvareoversikt i sanntid for hvert administrerte endepunkt – inkludert nettleserversjoner. Da CVE-2026-7896 ble offentliggjort, kunne IT-administratorer som bruker CapaOne, straks filtrere enhetsparken på installert Chrome- eller Edge-versjon og finne alle enheter som fortsatt kjørte et bygg under 148.0.7778.96. Ingen kryssjekking. Ingen eksport til regneark. Ingen manuell sammenligning mot en versjonsliste. Visningen fungerer uansett hvordan nettleseren kom til enheten – via Autopatch, Intune, oppdateringspolicy i Chrome Enterprise, manuell installasjon eller skygge-IT. CapaOne leser den installerte versjonen direkte fra endepunktet. Hvilken policy som rullet den ut, er uten betydning. For endepunkter der nettleseren har mottatt oppdateringspakken, men ennå ikke er startet på nytt, flagger konfigurasjonssignalene i Security Monitor den ventende tilstanden separat fra enheter som faktisk kjører den patchede versjonen. IT-administratorer kan tvinge fram en omstart for bestemte enhetsgrupper – og prioritere høyrisikobrukere som økonomi, HR og ledersekretærer – uten å røre resten av enhetsparken. Det samme datasettet kan eksporteres direkte til CSV som dokumentasjon for endringshåndtering og som dokumentasjon etter artikkel 21 i NIS2 for virksomheter i EU – med nettleserversjon, enhet og tidsstempel for utbedring per endepunkt.
Derfor er denne sårbarheten særlig farlig på endepunkter i virksomheter
Den tekniske årsaken til CVE-2026-7896 ligger i layoutmotoren i Blink – nærmere bestemt i koden som håndterer komplekse CSS grid- og flexbox-containere nestet inne i iframes. Analysen fra Lyrie Research beskriver hvordan en heltallsoverflyt i den kodebanen fører til korrupsjon av heap-metadata som kan brukes til å kjøre vilkårlig kode i renderer-prosessen. Det som gjør dette farlig i virksomheter, er leveringsveien. Drive-by-utnyttelse krever bare at en bruker laster inn en ondsinnet side via en phishinglenke, et kompromittert annonsenettverk, et forgiftet CDN eller et legitimt nettsted som viser innhold angriperen kontrollerer. Ingen vedlegg. Ingen makroforespørsel. Ingen dialogboks for heving av rettigheter. Skadeomfanget øker betydelig på endepunkter der brukerne har faste lokale administratorrettigheter. En kompromittert renderer-prosess på en standard brukerkonto har begrensede muligheter for lateral bevegelse. Det samme kompromisset på en konto med lokal admin åpner for persistensmekanismer, veier til legitimasjon og muligheter for lateral bevegelse som gjør en nettleserutnyttelse til en nettverkshendelse. Det er nettopp derfor CapaOnes Privilege Manager – som håndhever midlertidig heving av rettigheter (just-in-time) og fjerner faste lokale administratorrettigheter i hele enhetsparken – fungerer som en meningsfull sekundær kontroll, også mot nettleserbaserte utnyttelser. En vellykket Blink-utnyttelse på en standard brukerkonto møter en vesentlig smalere angrepsflate enn en på en konto med lokal admin. Book en demo av CapaOne-plattformen for endepunktadministrasjon her for å se hvordan Application Manager viser nettleserversjonene i hele enhetsparken din – eller start en gratis prøveperiode og sjekk din egen enhetspark selv.