Chrome 153: Google schließt 230 Sicherheitslücken, darunter aktiv ausgenutzter Zero-Day in V8

Google hat den stabilen Build des Browsers Chrome 153 veröffentlicht, der gleich 230 Sicherheitslücken schließt, von denen die Entwickler fünf als kritisch einstufen. Besondere Aufmerksamkeit verdient eine dieser Lücken: Laut Bestätigung des Unternehmens existiert für sie bereits ein aktiver Exploit im Netz, die Schwachstelle wird also in echten Angriffen ausgenutzt. Das Update wird schrittweise ausgerollt und seine Anwendung ist an einen vollständigen Neustart der Anwendung gebunden, was die korrekte Installation des Patches zu einer eigenen Aufgabe für den Nutzer macht.

Was behoben wurde und wo die Hauptbedrohung lauert

Die größte Gefahr stellt laut Entwicklern ein Puffer-Überlauf beim Schreiben außerhalb des zugewiesenen Bereichs (out-of-bounds write) mit der Kennung CVE-2026-87491 dar. Er wurde im V8-Engine entdeckt, die für die Verarbeitung von JavaScript und WebAssembly zuständig ist. Um fremden Code innerhalb der Sandbox auszuführen, muss ein Angreifer lediglich die Opfer dazu bringen, eine speziell präparierte HTML-Seite zu öffnen, was den Angriff potenziell massenhaft und ohne Installation von Schadsoftware möglich macht. Die fünf kritischen Schwachstellen betreffen andere Komponenten: Vier davon (CVE-2026-87464, CVE-2026-87488, CVE-2026-87438 und CVE-2026-87527) wurden in der WebGL-Schnittstelle zur 3D-Grafikverarbeitung gefunden, die fünfte (CVE-2026-872) im Cast-Modul, der Inhalte auf Fernseher streamt.

Siebter Zero-Day des Jahres und die Rolle der Automatisierung

Es ist bereits der siebte Zero-Day-Bug in Chrome, der 2026 aktiv von Hackern ausgenutzt wird: Der vorherige Type-Confusion-Bug in V8 mit der Kennung CVE-2026-85046 wurde erst fünf Tage vor dem aktuellen Release geschlossen. Auf die Schwachstelle CVE-2026-87491 wies im August der Forscher Jiheon Jeong aus dem Compsec-Labor der Seoul National University hin und erhielt eine Belohnung in Höhe von 2500 Dollar. Bemerkenswert ist, dass Google in der Danksagung erstmals automatisierte Fehlerfindungssysteme nannte – Big Sleep, und einer der Berichte wurde vom Tool OpenAI Codex Security eingereicht, was auf die wachsende Rolle von KI-Tools bei der Jagd nach Schwachstellen hinweist.

Widersprüchliche Daten

Hier gibt es einen deutlichen Widerspruch zwischen der offiziellen Bewertung und dem realen Bedrohungsbild. Google stuft die Gefährlichkeit von CVE-2026-87491 formal als mittel ein, wofür der Forscher vergleichsweise bescheidene 2500 Dollar erhielt. Gleichzeitig bezeichnen genau diese Lücke die Entwickler als die gefährlichste und bestätigen ihre aktive Ausnutzung im Netz – die tatsächliche Bedrohung für Nutzer ist also ungleich höher, als es in der regulären Schwerebewertung zum Ausdruck kommt. Die zweite Unstimmigkeit betrifft die Wahrnehmung des Updates: Der Hinweis „Chrome aktualisiert“ in den Einstellungen garantiert keinen Schutz, wenn der Browser mit Dutzenden geöffneten Tabs lief, da der Patch erst nach vollständigem Schließen und Neustart der Anwendung angewendet wird. „Aktualisiert“ in der Oberfläche und „geschützt“ in der Realität sind somit nicht dasselbe.

So prüfen Sie den Schutz und wenden den Patch an

Da die V8-Engine Teil des Open-Source-Projekts Chromium ist, betrifft die Schwachstelle nahezu alle gängigen Browser, mit Ausnahme von Firefox und Safari. Microsoft Edge, Brave, Opera, Vivaldi und Samsung Internet veröffentlichen Patches nach eigenem Zeitplan, daher sollten Nutzer dieser Programme separat prüfen, ob Updates verfügbar sind. Um den Status in Chrome zu prüfen, öffnen Sie chrome://settings/help: Die Anwendung prüft und lädt die Korrekturen selbst. Erscheint nach dem Laden ein Button „Neu starten“ (Relaunch), muss er unbedingt gedrückt werden – genau diese Aktion schließt die Installation des Schutzpatches ab. Wird auf der Seite die Version 152 angezeigt und tut sich nichts, ist das Gerät noch nicht in der Reihe des schrittweisen Rollouts, und die Prüfung sollte später wiederholt werden.

Neuer Release-Zeitplan

Ab Version 153 ändert Google die Veröffentlichungsfrequenz: Beta- und stabile Versionen für Windows, macOS, Linux, Android und iOS erscheinen nun alle zwei Wochen statt der bisherigen vier. Dies beschleunigt die Auslieferung von Korrekturen, erhöht aber zugleich die Anforderungen an die Disziplin der Nutzer – Bei häufigeren Updates wächst das Risiko, zwischen den Releases auf einer ungepatchten Version zu bleiben, und die Abhängigkeit des Schutzes vom manuellen Neustart des Browsers bleibt bestehen.