Chrome-Update stopft attackiertes Sicherheitsleck

Wer den Webbrowser Chrome von Google einsetzt, sollte zügig die bereitstehende Aktualisierung anwenden und den Browser neu starten. Das Update schließt mehrere hochriskante Sicherheitslücken, von denen eine bereits im Netz angegriffen wird.

In der Versionsankündigung listet Google neun Sicherheitslücken auf, die das Update stopft. Angreifer nehmen davon eine Use-after-free-Schwachstelle in XML aufs Korn, bei der Ressourcen genutzt werden, obwohl sie bereits freigegeben wurden. Das erzeugt undefinierte Speicherinhalte und endet meist im Softwareabsturz, kann aber auch zur Ausführung von eingeschmuggeltem Schadcode führen. Das Anzeigen von sorgsam präparierten Webseiten reicht dazu in der Regel aus, weshalb Google den Schweregrad auch als „hoch“ einstuft (CVE-2026-125350). Sechs weitere Schwachstellen gelten als hohes Risiko, zwei weitere als mittleres.

Aktualisierte Softwareversionen

Mit den Versionsständen Chrome 157.0.8103.50 für Android und Linux sowie 157.0.8103.50/.51 für macOS und Windows räumt Google die Probleme aus dem Weg. Google verteilt die Updates schrittweise über die kommenden Tage und Wochen. Die Extended Stable sollte auf den Stand Chrome 156.0.8078.96 gebracht werden. Diese Version für macOS und Windows schließt sogar elf Sicherheitslücken, darunter auch die bereits angegriffene.

Das Update installiert etwa der Versionsdialog des Browsers, der sich im Einstellungsmenü unter „Hilfe“ – „Über Google Chrome“ befindet. Da die Lücken die Chromium-Basis betreffen, dürften darauf basierende Webbrowser wie Microsoft Edge oder Brave ebenfalls in Kürze Sicherheitsupdates nachlegen. Microsoft hat bereits erklärt, an einem Sicherheits-Fix für Edge zu arbeiten. Nutzerinnen und Nutzer dieser Browser sollten daher ebenfalls die Updateprüfung über den jeweiligen Versionsdialog anstoßen. Unter Android und iOS kümmern sich die jeweiligen App-Stores um die Updateverteilung. Manche Geräte erhalten die Aktualisierung dadurch deutlich später. Unter Linux zeichnet hingegen in der Regel die Softwareverwaltung der eingesetzten Distribution für das Ausliefern des Updates verantwortlich.

Bereits Anfang September hatte Google eine missbrauchte Sicherheitslücke in Chrome geschlossen. Dabei handelte es sich um eine Type-Confusion-Schwachstelle in der JavaScript-Engine V8.