Google hat ein umfangreiches Sicherheitsupdate für seinen Chrome-Browser veröffentlicht. Die neue Version 156.0.8078.73/74 für Windows und macOS sowie Version 156.0.8078.73 für Linux schließt insgesamt 52 Sicherheitslücken. Vier davon sind als „kritisch“, 46 als „hoch“ und zwei als „mittel“ eingestuft.
Die kritischen Schwachstellen im Detail: Unter den 52 behobenen Lücken befinden sich vier kritische Schwachstellen, die alle in sicherheitsrelevanten Komponenten des Browsers liegen.
- CVE-2026-118306 – Speicherkorruption im FileSystem: Diese Lücke gilt als die schwerwiegendste. Ein entfernter Angreifer könnte potenziell beliebigen Code außerhalb der Browser-Sandbox ausführen, indem er ein speziell präpariertes HTML-Dokument öffnet. Damit wäre die zentrale Sicherheitsbarriere des Browsers umgangen.
- CVE-2026-118331 – Unzureichende Eingabevalidierung in der FileAPI: Auch hier besteht die Gefahr der Codeausführung, allerdings innerhalb der Sandbox.
- CVE-2026-118348 – Unzureichende Eingabevalidierung in Skia: Skia ist die Grafikbibliothek von Chrome. Die Schwachstelle ermöglicht ebenfalls die Ausführung von Code innerhalb der Sandbox.
- CVE-2026-118344 – Use-after-free in der Layout-Engine: Dieser Speicherfehlertyp kann ebenfalls zur Ausführung von Schadcode führen.
Die übrigen 46 als „hoch” eingestuften Schwachstellen betreffen eine breite Palette von Komponenten, darunter die JavaScript-Engine V8, die Grafik-APIs ANGLE und Skia, den PDF-Renderer PDFium sowie WebRTC. Laut den CVE-Beschreibungen ermöglichen zwölf der 52 Fehler Codeausführung außerhalb der Sandbox – ein besonders schwerwiegendes Szenario.
Obwohl keine aktive Ausnutzung der Schwachstellen bekannt ist, sollten Nutzer das Update zeitnah installieren. Die vier kritischen Lücken – insbesondere die Möglichkeit zur Codeausführung außerhalb der Sandbox – stellen ein erhebliches Risiko dar, falls sie in Zukunft von Angreifern entdeckt und ausgenutzt werden.
Es gibt keine Hinweise auf eine aktive Ausnutzung.
Zum Zeitpunkt der Veröffentlichung gibt es keine Berichte darüber, dass eine der geschlossenen Lücken aktiv ausgenutzt wird. Google betont in den Versionshinweisen, dass die Details zu den einzelnen Schwachstellen vorerst zurückgehalten werden, bis die meisten Nutzer das Update installiert haben.
Dieser Ansatz soll verhindern, dass Angreifer die Informationen für gezielte Exploits nutzen, bevor die Mehrheit der Nutzer geschützt ist.
KI als Werkzeug der Schwachstellenfindung
Der bei Anthropic beschäftigte Sicherheitsforscher Xinyang Ge meldete allein 16 der 33 extern gefundenen Schwachstellen – darunter sämtliche vier kritischen Lücken. Bei sechs dieser Meldungen wird ausdrücklich darauf hingewiesen, dass sie mithilfe des KI-Assistenten Claude entstanden sind. Weitere vier Schwachstellen gingen auf das Konto von OpenAI Codex Security. Insgesamt nennen zwölf der 33 externen Meldungen ein KI-Sicherheitsprogramm als beteiligt.
Google selbst entdeckte 19 der 52 Lücken intern. Für die extern gemeldeten Schwachstellen lobte das Unternehmen Prämien in Höhe von insgesamt rund 50.000 US-Dollar aus.
Die häufigsten Fehlerklassen waren unzureichende Eingabevalidierung (17 Fälle), Use-after-free (16 Fälle) und Speicherkorruption (15 Fälle) – klassische Schwachstellentypen, die oft zu Codeausführung führen.
Betroffene Versionen und Plattformen
Das Update richtet sich an alle Nutzer von Chrome unter Windows, macOS und Linux. Betroffen sind sämtliche Versionen vor 156.0.8078.73, auch die mobile Android-Version, die ein Update auf 156.0.8078.73 mit denselben Sicherheitskorrekturen erhält. Chrome für iOS wird ebenfalls aktualisiert, allerdings mit einer abweichenden Versionsnummer.
Die Verteilung des Updates erfolgt schrittweise in den kommenden Tagen und Wochen. In der Regel müssen Nutzer nicht selbst aktiv werden, da sich Chrome automatisch aktualisiert. Wer den Vorgang beschleunigen möchte, kann die Update-Prüfung manuell anstoßen (Chrome-Menü > „Hilfe“ > „Über Google Chrome“).
Zusätzliche Änderung: Zertifikat entfernt
Unabhängig von den 52 Schwachstellen enthält das Update eine weitere sicherheitsrelevante Anpassung: Das Root-Zertifikat „emSign ECC Root CA – G3” der indischen Zertifizierungsstelle eMudhra wurde aus dem Chrome-Root-Store entfernt.
Hintergrund ist ein Sicherheitsvorfall bei der Zertifizierungsstelle. Webseitenbetreiber, deren Serverzertifikate auf dieses Root-Zertifikat zurückgreifen, müssen ihre Zertifikate erneuern. Andernfalls werden sie von Chrome nicht mehr als vertrauenswürdig eingestuft.
