Google schliesst kritische Zero-Day-Lücke in Chrome

News

Google hat eine kritische Zero-Day-Schwachstelle behoben, welche die V8-Engine von Chrome betrifft und bereits ausgenutzt wird. Das Update enthält gleichzeitig elf weitere Sicherheitspatches.

(Source: Luca Sammarco / Pexels)

Google hat eine neue Zero-Day-Sicherheitslücke geschlossen, welche die Kennung CVE-2026-85046 trägt und als kritisch eingestuft ist. Sie betrifft V8, Chromes Open-Source-Engine für Javascript und Webassembly, die Website-Code kompiliert und ausführt, wie "Bleeping Computer" berichtet. Demnach wird die Schwachstelle bereits aktiv ausgenutzt.

Bei der Lücke handle es sich um eine sogenannte Typenverwechslung - die Software interpretiere ein Objekt fälschlicherweise als einen anderen Typ, was zu einer Speicherbeschädigung führe. Laut "Bleeping Computer" konnten Angreifer die Schwachstelle mit einer entsprechend programmierten HTML-Seite und bösartigem Javascript-Code ausnutzen. Aus der Ferne könnten sie dadurch Code im isolierten Rendering-Prozess von Chrome ausführen. Google veröffentliche vorerst keine weiteren technischen Details, um Usern und betroffenen Projekten Zeit zu geben, den Patch zu installieren.

Mit dem Update ist Chrome nun unter Windows und MacOS auf Version 152.0.7977.82/.83 und unter Linux auf Version 152.0.7977.82. Abgesehen von der Schwachstelle in V8 behebe es noch elf weitere Sicherheitslücken, wovon neun als kritisch eingestuft seien. Darunter sind gemäss "Bleeping Computer" Schwachstellen vom Typ "Use-after-free" sowie "Out-of-bounds Memory Flaws", die etwa WebGL, Skia, Devtools, Network und Cachestorage betreffen.

Sechste ausgenutzte Sicherheitslücke dieses Jahr

Es handelt sich bereits um die sechste ausgenutzte Chrome-Schwachstelle, die Google seit Anfang 2026 behoben hat, wie "Bleeping Computer" schreibt. Einige der früheren Lücken hätten auch V8 betroffen, andere insbesondere Skia, CSS Font Feature Values Map und Dawn.

Der Patch werde schrittweise bereitgestellt. User können in den Chrome-Einstellungen prüfen, ob er verfügbar ist, und den Browser nach der Installation neu starten. Chromium-basierte Browser - darunter Microsoft Edge, Brave, Opera und Vivaldi - dürften die Fixes ebenfalls integrieren, möglicherweise mit einer Verzögerung von einigen Tagen.

Das könnte Sie auch interessieren: HPE schloss kürzlich eine kritische Sicherheitslücke in seinem Netzwerkbetriebssystem ArubaOS-CX, wie Sie hier lesen können.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.