Chrome-V8-Zero-Day bei laufenden Angriffen ausgenutzt: Jetzt auf Version 153 aktualisieren

Google verteilt derzeit ein umfangreiches Chrome-Sicherheitsupdate, das 230 Schwachstellen behebt – darunter einen aktiv ausgenutzten Zero-Day in der V8-JavaScript- und WebAssembly-Engine des Browsers.

Die als CVE-2026-87491 geführte Schwachstelle ermöglicht es einer manipulierten Webseite, einen Out-of-bounds-Schreibzugriff auszulösen. Bei erfolgreicher Ausnutzung können Angreifer eigenen Code innerhalb der Chrome-Sandbox ausführen, den Heap-Speicher beschädigen, auf Informationen zugreifen, die dem Renderer zur Verfügung stehen, oder den Browser zum Absturz bringen.

Zum 9. September 2026 hat Google bestätigt, dass ein Exploit in freier Wildbahn existiert. Das Unternehmen hat weder die Angreifer noch die betroffenen Organisationen, die Bereitstellungsinfrastruktur oder die Ziele der Kampagne identifiziert.

Manipulierte HTML-Seite kann V8-Speicher beschädigen

CVE-2026-87491 betrifft V8, die Engine, die Chrome zur Verarbeitung von JavaScript und WebAssembly verwendet. Die zugrunde liegende Schwachstelle ist ein Out-of-bounds-Schreibzugriff, also ein Speicherfehler, bei dem Daten außerhalb der Grenzen des dafür vorgesehenen Puffers geschrieben werden.

Angreifer können den anfälligen Code aus der Ferne über eine speziell präparierte HTML-Seite erreichen. Das Opfer muss die von den Angreifern kontrollierten Inhalte verarbeiten. Diese können über eine kompromittierte Webseite, einen manipulierten Link, eine Werbekette oder einen anderen webbasierten Mechanismus ausgeliefert werden. Für die beobachteten Angriffe wurde keine konkrete Bereitstellungsmethode offengelegt.

Schreibzugriffe außerhalb eines reservierten Puffers können angrenzende Heap-Strukturen verändern und Objekte beeinträchtigen, die vom Browserprozess verwendet werden. Je nach Exploit kann dies unmittelbar zu einem Absturz, einem unbeabsichtigten Speicherzugriff, der Offenlegung von Informationen oder der Ausführung beliebigen Codes führen.

Der gemeldete Ausführungskontext befindet sich weiterhin innerhalb der Chrome-Sandbox. Diese Unterscheidung ist wichtig: CVE-2026-87491 wurde allein bislang weder als vollständiger Ausbruch aus der Sicherheitsgrenze des Browsers noch als direkter Angriff auf das Betriebssystem beschrieben.

Die Ausführung von Code in der Sandbox bleibt dennoch gefährlich. Sie kann Angreifern die Kontrolle über einen Renderer-Prozess und den Zugriff auf Daten ermöglichen, die in diesem Kontext verfügbar sind. Außerdem könnte sie Bestandteil einer Angriffskette mit mehreren Schwachstellen werden, an der eine separate Schwachstelle zum Ausbruch aus der Sandbox oder zur Rechteausweitung beteiligt ist. Google hat nicht offengelegt, ob die laufenden Angriffe eine solche Kette verwenden.

Das Unternehmen hält detaillierte technische Informationen und Exploit-Referenzen zurück, bis das Update die Nutzer erreicht hat. Einschränkungen könnten bestehen bleiben, falls dasselbe zugrunde liegende Problem auch eine ungepatchte Abhängigkeit eines Drittanbieters betrifft.

Chrome 153.0.8010.36 oder 153.0.8010.37 installieren

Die korrigierten Stable-Desktop-Versionen sind:

Betriebssystem	Korrigierte Chrome-Version
Windows	153.0.8010.36
Linux	153.0.8010.36
macOS	153.0.8010.37

Google weist darauf hin, dass die Verteilung an die weltweite Nutzerschaft mehrere Tage oder Wochen dauern kann. Automatische Updates garantieren nicht, dass der aktuell laufende Browserprozess geschützt ist: Nach dem Herunterladen des neuen Builds muss Chrome neu gestartet werden.

Nutzer können den Vorgang über folgende Menüfolge starten:

Mehr → Hilfe → Über Google Chrome → Neu starten

Organisationen sollten die laufende Version über Browserinventarisierung oder Plattformen zur Endpoint-Verwaltung überprüfen. Wer lediglich kontrolliert, ob eine Richtlinie für automatische Updates vorhanden ist, kann Systeme ungeschützt lassen, wenn Mitarbeiter ihre Browsersitzungen über längere Zeit geöffnet halten.

Google hat für CVE-2026-87491 keine genaue Grenze der betroffenen Versionen veröffentlicht. Administratoren sollten daher nicht versuchen, die Sicherheit anhand eines älteren Versionsbereichs zu bestimmen. Maßgeblich ist der für die jeweilige Plattform angegebene korrigierte Build.

Microsoft Edge, Brave, Opera, Vivaldi und andere von Chromium abgeleitete Browser könnten betroffene Komponenten gemeinsam nutzen. Ihre Anbieter müssen entsprechende Updates unabhängig voneinander paketieren und verteilen. Feste Versionsnummern für diese Browser wurden bislang nicht veröffentlicht.

Ausnutzung bestätigt, Schweregrad jedoch weiterhin umstritten

Öffentliche Berichte ordnen CVE-2026-87491 unterschiedlich ein. Eine Klassifizierung stuft die Schwachstelle als mittelschwer ein, eine andere als schwerwiegend.

Derzeit gibt es keinen verifizierten NVD-Eintrag mit einer offiziellen CVSS-Bewertung, einem CVSS-Vektor, einem Bereich betroffener Produkte oder einer CWE-Klassifizierung für diese Schwachstelle. Der Out-of-bounds-Schreibzugriff wurde mit CWE-787 in Verbindung gebracht, diese Zuordnung wurde jedoch nicht durch einen verfügbaren NVD-Eintrag bestätigt.

Dasselbe gilt für den Katalog der bekannten ausgenutzten Schwachstellen der US Cybersecurity and Infrastructure Security Agency. Ein CISA-KEV-Eintrag, ein Aufnahmedatum und eine Frist für die Behebung durch Bundesbehörden lassen sich für CVE-2026-87491 derzeit nicht verifizieren.

Das Fehlen verifizierter Katalogdaten darf nicht als Hinweis darauf verstanden werden, dass die Ausnutzung nur theoretischer Natur ist. Google hat den Einsatz in freier Wildbahn unabhängig bestätigt. Daher ist die Installation der korrigierten Builds dringend erforderlich, unabhängig vom weiterhin ungeklärten Schweregrad.

Jihyeon Jeong vom Compsec Lab der Seoul National University entdeckte die Schwachstelle und meldete sie am 6. August 2026 an Google. Das Unternehmen zahlte dem Forscher ein Bug-Bounty in Höhe von 2.500 US-Dollar.

Der genaue Veröffentlichungstag des Updates ist unklar, da sich die veröffentlichten Berichte widersprechen. Einer nennt eine Veröffentlichung am Dienstag, ein anderer eine am Donnerstag. Ein separater, präziser Termin für den Rollout wurde nicht bestätigt, obwohl die korrigierten Stable-Desktop-Builds am 9. September 2026 verfügbar waren.

Update behebt auch kritische WebGL- und Cast-Fehler

CVE-2026-87491 ist nur ein Teil eines ungewöhnlich umfangreichen Chrome-Releases. Das Update behebt 230 Schwachstellen, darunter 195 von Google identifizierte Probleme.

Fünf weitere Schwachstellen wurden als kritisch eingestuft:

• CVE-2026-87464: Use-after-free in WebGL
• CVE-2026-87488: Use-after-free in WebGL
• CVE-2026-87438: Out-of-bounds-Schreibzugriff in WebGL
• CVE-2026-87527: Pufferüberlauf in WebGL
• CVE-2026-87628: Use-after-free in Cast

Das Release behebt außerdem CVE-2026-87639, eine schwerwiegende Use-after-free-Schwachstelle in WebPackaging, die OpenAI Codex Security gemeldet hat.

Bei mehreren Schwachstellen handelt es sich um Speicherbeschädigungsfehler, darunter Use-after-free-Bedingungen, Pufferüberläufe und Out-of-bounds-Schreibzugriffe. Google setzt AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer und AFL ein, um diese Fehlerklassen während der Entwicklung und des Testens des Browsers zu erkennen.

Für die weiteren oben aufgeführten Schwachstellen wurde bislang keine aktive Ausnutzung gemeldet. Das Vorhandensein mehrerer kritischer Speicherfehler spricht dennoch dafür, das gesamte Update einzuspielen, statt es als eng begrenzte V8-Korrektur zu behandeln.

Chrome war wiederholt Ziel ausgenutzter Zero-Days

CVE-2026-87491 wurde als siebter seit Jahresbeginn behobener Chrome-Zero-Day bezeichnet, wobei sich veröffentlichte historische Listen darin unterscheiden, welche frühere Schwachstelle mitgezählt werden sollte.

Die umfangreichere Aufstellung umfasst:

• CVE-2026-2441
• CVE-2026-3909
• CVE-2026-3910
• CVE-2026-5281
• CVE-2026-11645
• CVE-2026-85046
• CVE-2026-87491

Für mehrere dieser früheren Schwachstellen gibt es verifizierte CISA-KEV-Einträge. CVE-2026-2441 wurde am 17.02.2026 in den Katalog aufgenommen; als Frist für die Behebung durch Bundesbehörden wurde der 10.03.2026 festgelegt. CVE-2026-3909 und CVE-2026-3910 wurden am 13.03.2026 aufgenommen, für beide galt eine Frist bis zum 27.03.2026.

CVE-2026-5281 wurde am 01.04.2026 in den KEV-Katalog aufgenommen; die Behebung musste bis zum 15.04.2026 erfolgen. CVE-2026-11645 folgte am 09.06.2026, mit einer Frist bis zum 23.06.2026.

Jede dieser fünf Schwachstellen hat einen CVSS-v3.1-Wert von 8,8 und erfordert eine Interaktion des Nutzers. Die von CISA vorgeschriebene Reaktion besteht darin, Maßnahmen des Anbieters anzuwenden, bei Cloud-Diensten die einschlägigen Vorgaben aus BOD 22-01 zu befolgen oder das betroffene Produkt außer Betrieb zu nehmen, falls keine Schutzmaßnahmen verfügbar sind.

Diese Historie zeigt ein wiederkehrendes Muster realer Ausnutzung in verschiedenen Chrome-Komponenten, darunter V8, Skia, CSS und Dawn. Sie gibt jedoch keinen Aufschluss darüber, wer CVE-2026-87491 ausnutzt, und stellt keinen Zusammenhang zwischen den aktuellen Angriffen und einer früheren Kampagne her.

Was Sicherheitsteams jetzt tun sollten

Unternehmen sollten Windows- und Linux-Endpunkte mit Versionen unter 153.0.8010.36 sowie macOS-Endpunkte mit Versionen unter 153.0.8010.37 priorisieren. Systeme von Führungskräften, Entwicklern, privilegierten Administratoren und Nutzern mit hohem Browsing-Risiko sollten beschleunigt aktualisiert werden.

Sicherheitsteams sollten außerdem:

1. Nach der Installation des Updates einen Browserneustart erzwingen.
2. Die tatsächlich laufenden Versionen über die Endpoint-Telemetrie überprüfen.
3. Sicherheitsveröffentlichungen von Edge, Brave, Opera, Vivaldi und anderen Chromium-Anbietern verfolgen.
4. Wiederholte Abstürze von Renderer-Prozessen oder ungewöhnliche untergeordnete Browserprozesse untersuchen.
5. Web- und Netzwerk-Telemetrie auf verdächtige HTML-Bereitstellungen prüfen.
6. Die Behebung der früheren Chrome-Schwachstellen bestätigen, die bereits im CISA-KEV-Katalog enthalten sind.

Es liegen keine bestätigten Indicators of Compromise, Exploit-Hashes, schädlichen Domains, betroffenen Branchen oder Identifikatoren der Angreifer vor. Erkennungsmaßnahmen müssen sich daher auf Verhaltensindikatoren und lokale Telemetrie stützen und nicht auf eine veröffentlichte IOC-Liste.