Apple heeft een kritieke kwetsbaarheid in Google Chrome gevonden waardoor een aanvaller willekeurige code op systemen kan uitvoeren en die in het ergste geval kan overnemen. Een gebruiker hoeft hiervoor alleen een gecompromitteerde of besmette website te bezoeken of een besmette advertentie te zien krijgen. Er is geen verdere interactie vereist. Dergelijke aanvallen worden ook wel een drive-by download genoemd. Google heeft updates uitgebracht om het probleem te verhelpen.

Het beveiligingslek (CVE-2024-10487) bevindt zich in Dawn, een open source en crossplatform implementatie van de WebGPU-standaard. De kwetsbaarheid zorgt voor een 'out-of-bounds write' wat het mogelijk maakt voor een aanvaller om zijn code op het systeem van de gebruiker uit te voeren. De kwetsbaarheid werd op 23 oktober door het Apple Security Engineering and Architecture (SEAR) aan Google gerapporteerd. De beloning die Apple hiervoor zal ontvangen is nog niet bekendgemaakt. Ook verdere details over de kwetsbaarheid zijn niet door Google gegeven.

Apple heeft in het verleden vaker kwetsbaarheden in Chrome gevonden en aan Google gerapporteerd. Het gaat om CVE-2023-4072, CVE-2023-4863 en CVE-2023-3598. Google stelde eerder dat CVE-2023-4863 door een commerciële spywareleverancier was gebruikt. In het geval van kritieke kwetsbaarheden probeert Google de beschikbare update binnen dertig dagen onder alle Chrome-gebruikers uit te rollen. Details kunnen vervolgens na zestig dagen openbaar worden gemaakt.Google Chrome 130.0.6723.91/.92 is beschikbaar voor Windows en macOS. Voor Linux is versie 130.0.6723.92 verschenen.

Updaten zal op de meeste systemen automatisch gebeuren. Dit kan echter een aantal dagen duren. Gebruikers die de update direct willen ontvangen zullen een handmatige controle moeten uitvoeren. Voor gebruikers van Microsoft Edge, dat net als Chrome op Googles Chromium-browser is gebaseerd, is nog geen update beschikbaar.