Google patcht aktiv ausgenutzten Chrome-V8-Zero-Day

Google hat ein Chrome-Update veröffentlicht, das CVE-2026-87491 behebt, einen aktiv ausgenutzten Chrome-V8-Zero-Day, der es einem entfernten Angreifer ermöglicht, beliebigen Code innerhalb der Browser-Sandbox auszuführen, indem er ein Opfer dazu bringt, eine speziell präparierte HTML-Seite zu öffnen. Die Schwachstelle ist ein Out-of-Bounds-Write in V8, der Komponente von Chrome, die JavaScript- und WebAssembly-Code ausführt. Ein Out-of-Bounds-Write bedeutet, dass das Programm Daten außerhalb des Speicherbereichs schreibt, den es eigentlich verwenden soll, was den Speicher beschädigen und einem Angreifer die Kontrolle über einen Teil des Browsers ermöglichen kann. Ein Zero-Day ist eine Schwachstelle, die Angreifer bereits ausnutzten, bevor der Softwarehersteller einen Fix zur Verfügung hatte, sodass am Tag der ersten Ausnutzung noch kein Patch existierte.

Das am Dienstag veröffentlichte Update behebt insgesamt 230 Sicherheitslücken. Der Eintrag für CVE-2026-87491 in der NIST National Vulnerability Database besagt, dass in Chrome-Versionen vor 153.0.8010.36 der Fehler es einem entfernten Angreifer ermöglichte, über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox auszuführen. Die Chrome-Sandbox ist eine Sicherheitsgrenze, die Webseitencode vom Rest des Computers trennt; Code, der innerhalb der Sandbox läuft, hat eingeschränkten Zugriff, aber Angreifer können ihn dennoch als ersten Schritt zu einer weitergehenden Kompromittierung nutzen. Google hat die Schwachstelle als mittelschwer eingestuft und keinen CVSS-Score veröffentlicht, aber die aktive Ausnutzung in freier Wildbahn macht sie dringend.

Der Sicherheitsforscher Jihyeon Jeong vom Compsec Lab der Seoul National University entdeckte die Schwachstelle und meldete sie am 6. August 2026 an Google. Jeong erhielt eine Bug-Bounty-Belohnung von 2.500 US-Dollar für die verantwortungsvolle Offenlegung. Google gibt an, dass ein Exploit für CVE-2026-87491 in freier Wildbahn existiert, hat aber keine weiteren Details darüber geteilt, wie Angreifer ihn nutzen oder wer hinter den Angriffen steckt. Das Unternehmen erklärt außerdem, dass der Zugriff auf Fehlerdetails und Links möglicherweise eingeschränkt bleibt, bis die meisten Nutzer den Fix installiert haben, oder wenn der Fehler in einer Bibliothek eines Drittanbieters existiert, von der andere Projekte abhängen, die ihn noch nicht gepatcht haben.

Mit dieser Veröffentlichung hat Google nun sieben aktiv ausgenutzte Chrome-Zero-Days seit Jahresbeginn behoben. Die früheren sechs sind CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645 und CVE-2026-85046. Im selben Update hat Google außerdem fünf kritische Sicherheitslücken in WebGL- und Cast-Komponenten behoben. WebGL wird von Webseiten verwendet, um 3D-Grafiken im Browser darzustellen, und Cast übernimmt das Streaming auf Geräte wie Chromecast. Die kritischen Fixes sind CVE-2026-87464 und CVE-2026-87488, beide Use-after-Free-Fehler in WebGL; CVE-2026-87438, ein Out-of-Bounds-Write in WebGL; CVE-2026-87527, ein Pufferüberlauf in WebGL; und CVE-2026-87628, ein Use-after-Free-Fehler in Cast. Google gibt an, 195 der 230 in diesem Update behobenen Fehler gemeldet zu haben. Ein hochgradiger Use-after-Free-Fehler in WebPackaging, CVE-2026-87639, wird OpenAI Codex Security zugeschrieben. Use-after-Free bedeutet, dass das Programm einen Speicherbereich weiterhin verwendet, nachdem er freigegeben wurde, was ebenfalls einem Angreifer ermöglichen kann, den Speicher zu beschädigen und Code auszuführen. Google wies außerdem darauf hin, dass viele seiner Sicherheitsfehler mit automatisierten Tools wie AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer und AFL erkannt werden.

Um den Fix zu erhalten, sollten Nutzer Chrome auf Version 153.0.8010.36 oder .37 unter Windows und Apple macOS sowie auf 153.0.8010.36 unter Linux aktualisieren. Der einfachste Weg ist, Chrome zu öffnen, auf das Drei-Punkte-Menü zu klicken, Hilfe und dann Über Google Chrome zu wählen. Der Browser sucht nach dem Update und zeigt eine Schaltfläche „Neu starten“ an, die Chrome mit der gepatchten Version neu startet. Nutzer anderer Chromium-basierter Browser wie Microsoft Edge, Brave, Opera und Vivaldi sollten die Fixes anwenden, sobald diese Anbieter sie veröffentlichen, da diese Browser einen Großteil desselben zugrunde liegenden Codes teilen. Chrome aktualisiert sich normalerweise automatisch im Hintergrund, aber wenn der Browser lange geöffnet war, kann das Update auf einen Neustart warten, sodass eine manuelle Überprüfung sicherstellt, dass die korrigierte Version aktiv ist.

Am 9. September 2026 hat die U.S. Cybersecurity and Infrastructure Security Agency (CISA) CVE-2026-87491 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen. Dieser Katalog listet Schwachstellen auf, die laut CISA aktiv ausgenutzt werden und umgehend gepatcht werden müssen. CISA verlangt von den Federal Civilian Executive Branch agencies, zu denen zivile Regierungsabteilungen gehören, den Patch bis zum 23. September 2026 anzuwenden. Für alle anderen ist dieses Datum ein nützliches praktisches Ziel: Wenn ein Browser-Fehler auf einer Regierungsbeobachtungsliste steht, weil er in echten Angriffen verwendet wird, sollten einzelne Nutzer und Unternehmen ihn mit derselben Dringlichkeit behandeln.

Für Website-Betreiber und IT-Teams ist dies eine weitere Erinnerung, dass Browser-Patching nicht optional ist. Ein veralteter Browser kann der Einstiegspunkt sein, der einem Angreifer Zugang zu einem WordPress-Admin-Panel, einem gehosteten Control Panel oder einem Cloud-Dashboard ermöglicht. AEU Hosting, unser Managed-WordPress-Hosting-Dienst, hält die Serverseite gepatcht und überwacht, aber die Person an der Tastatur muss dennoch die aktuelle Chrome-Version auf jedem Gerät ausführen, das für den Zugriff auf diese Systeme verwendet wird. Ein vollständig gepatchter Server hinter einem veralteten Browser lässt immer noch eine Tür offen, und der Fix für diesen Chrome-V8-Zero-Day schließt diese Tür auf der Nutzerseite.