Chrome hat ein neues Sicherheitsupdate gegen den aktiv ausgenutzten Zero-Day CVE-2026-85046 erhalten. Google verteilt Chrome 152.0.7977.82/.83 für Windows und macOS sowie Chrome 152.0.7977.82 für Linux. Das Update enthält insgesamt 12 Sicherheitsfixes. Nutzer sollten die Aktualisierung sofort installieren und den Browser danach neu starten.
Die wichtigste Lücke steckt in V8, der JavaScript- und WebAssembly-Engine von Chrome. Google stuft CVE-2026-85046 mit hohem Schweregrad ein und bestätigt einen Exploit in freier Wildbahn. Damit ist das Update kein normaler Wartungspatch. Im Bereich Chrome-Sicherheitsupdates gehört ein bestätigter Zero-Day immer zu den dringenden Fällen. Präparierte Webseiten können als Angriffspfad bereits ausreichen.
Google patcht V8-Lücke CVE-2026-85046 in Chrome 152
CVE-2026-85046 ist eine Type-Confusion-Schwachstelle in V8. Solche Fehler entstehen, wenn eine Engine Daten intern mit einem falschen Typ behandelt. In einer Browser-Engine kann das zu Speicherfehlern führen. Die öffentliche CVE-Beschreibung nennt Codeausführung innerhalb der Chrome-Sandbox über eine präparierte HTML-Seite als mögliche Folge. Google hält technische Details und Buglinks wie üblich eingeschränkt, bis ein großer Teil der Nutzer geschützt ist.
Der Fix kam mit dem Stable-Channel-Update vom 3. September 2026. Google nennt den Sicherheitsforscher Salvatore Gulizia mit dem Nickname Serotav als Melder der V8-Lücke. Die Meldung erfolgte laut Chrome-Release-Blog am 4. August 2026. Der veröffentlichte Reward liegt bei 1.000 Dollar. Entscheidend ist aber nicht die Prämie, sondern Googles kurzer Hinweis, dass bereits ein Exploit existiert.
| Punkt | Angabe | Bedeutung |
|---|---|---|
| Gefixte Chrome-Version Windows/macOS | 152.0.7977.82/.83 | Updateziel für Desktop-Nutzer |
| Gefixte Chrome-Version Linux | 152.0.7977.82 | Updateziel für Linux-Nutzer |
| Sicherheitsfixes | 12 | Breiter Sicherheitsrelease |
| Zero-Day | CVE-2026-85046 | Dringend installieren |
| Komponente | V8 JavaScript- und WebAssembly-Engine | Kritischer Browser-Codepfad |
| Schweregrad | High | Hohe Priorität für Admins |
| Exploit-Status | Exploit in freier Wildbahn bestätigt | Keine theoretische Lücke mehr |
Das Update enthält elf weitere Korrekturen. Google listet mehrere High-Einträge, darunter Fehler in CrashReporting, Network, Compositing, V8, WebGL, CacheStorage, DevTools und Skia. Zwei weitere Einträge tragen mittleren Schweregrad. Die Mischung zeigt, dass der Patch nicht allein wegen eines einzelnen Bugs relevant ist. Der Zero-Day macht den Rollout aber deutlich dringlicher als ein gewöhnliches Sicherheitsupdate.
Für Nutzer ist der Ablauf einfach. Chrome öffnet Updates zwar automatisch, aktiviert sie aber erst nach einem Neustart. Die Versionskontrolle läuft über chrome://settings/help. Dort sucht Chrome nach Updates, installiert verfügbare Pakete und fordert einen Neustart an. Nach dem Neustart sollte die Version 152.0.7977.82 oder unter Windows und macOS alternativ 152.0.7977.83 erscheinen.
- Windows: Chrome 152.0.7977.82 oder 152.0.7977.83 installieren.
- macOS: Chrome 152.0.7977.82 oder 152.0.7977.83 installieren.
- Linux: Chrome 152.0.7977.82 über Paketquelle oder Browserupdate einspielen.
- Neustart: Der Schutz greift erst nach dem erneuten Start des Browsers.
- Unternehmen: Update-Ringe und verzögerte Richtlinien sofort prüfen.
- Chromium-Browser: Edge, Brave, Vivaldi und Opera brauchen eigene Herstellerupdates.
Aktive Ausnutzung macht das Update für Firmen besonders dringend
Ein aktiv ausgenutzter Chrome-Zero-Day hat eine andere Priorität als eine normale CVE-Liste. Browser laufen auf fast jedem Arbeitsplatz, verarbeiten nicht vertrauenswürdige Inhalte und erhalten ständig neue Daten aus dem Web. Eine V8-Lücke ist besonders sensibel, weil JavaScript auf nahezu jeder modernen Webseite läuft. Angreifer können solche Fehler in Angriffsketten einbauen, etwa zusammen mit Sandbox-Escape-Lücken, Phishing-Seiten oder kompromittierten legitimen Webseiten.
CISA hat CVE-2026-85046 bereits in den Known Exploited Vulnerabilities Catalog aufgenommen. Für US-Bundesbehörden entstehen dadurch verbindliche Fristen. Für Unternehmen außerhalb dieses Rahmens ist der KEV-Eintrag trotzdem ein starkes Warnsignal. Er bedeutet, dass es belastbare Hinweise auf aktive Ausnutzung gibt. Sicherheitsabteilungen sollten den Patch daher nicht in ein normales Monatsfenster verschieben.
Administratoren sollten zuerst alle Desktop-Installationen prüfen. Dazu gehören klassische Windows-Clients, macOS-Geräte, Linux-Arbeitsplätze, VDI-Images, Terminalserver, Paketquellen, Gold Images und verwaltete Browserprofile. In vielen Umgebungen läuft Chrome nicht nur als Hauptbrowser. Anwendungen können Chromium-Komponenten, WebViews oder eingebettete Browsertechniken nutzen. Diese Komponenten folgen nicht automatisch dem Chrome-Stable-Update.
Auch andere Chromium-basierte Browser benötigen Aufmerksamkeit. Google patcht Chrome. Microsoft, Brave, Vivaldi, Opera und andere Anbieter müssen ihre eigenen Builds mit dem gefixten Chromium-Code veröffentlichen. Nutzer sollten daher nicht nur die Chrome-Version prüfen, sondern auch den tatsächlich verwendeten Browser. Besonders gefährlich sind portable Installationen, alte Unternehmenspakete und Systeme mit blockierten Auto-Updates.
Der neue Zero-Day folgt kurz nach dem großen Chrome-151-Sicherheitsupdate mit fünf geschlossenen Lücken und nach dem regulären Start von Chrome 152. Die damalige Chrome-152-Version brachte bereits eine sehr große Sicherheitsrunde mit hunderten Fixes. Das neue Update zeigt, dass auch nach großen Hauptversionen kurzfristige Notfallpatches nötig bleiben, sobald Exploit-Hinweise auftauchen.
Für Privatanwender reicht meist die sofortige Aktualisierung über die Hilfeseite. Für Firmen sollte der Nachweis genauer ausfallen. Endpoint-Management, Browser-Versionen, Neustartstatus und Richtlinien für verzögerte Updates sollten abgeglichen werden. Geräte mit Versionen unter 152.0.7977.82 bleiben verwundbar. Der wichtigste nächste Schritt ist daher klar: Chrome aktualisieren, Browser neu starten und die aktive Version prüfen.