LONDON (IT BOLTWISE) – Google hat ein Chrome-Update veröffentlicht, das 12 Sicherheitslücken schließt, darunter eine V8-Schwachstelle, die aktiv in realen Angriffen ausgenutzt wurde. Betroffen ist eine Type-Confusion-Fehlinterpretation im V8- und WebAssembly-Engine-Umfeld, die in einem speziell präparierten HTML-Kontext Code innerhalb der Sandbox ermöglichen kann. Die Aktualisierung adressiert außerdem weitere Zero-Days, die bereits im Jahr mehrfach gezielt genutzt wurden. Nutzer sollten Chrome umgehend auf die Versionen 152.0.7977.82/.83 bringen und den Neustart über das About-Menü anstoßen.
Google hat für Chrome ein Sicherheits-Update bereitgestellt, das insgesamt 12 Schwachstellen behebt. Besonders relevant ist dabei eine als CVE-2026-85046 verzeichnete Lücke mit einem CVSS-Score von 8,8, die nach Angaben der Sicherheitsbeschreibung bereits „in the wild“ aktiv ausgenutzt wird. In der Praxis bedeutet das: Es genügt nicht, auf den nächsten Browser-Start zu hoffen, weil die Angriffe die Schwachstelle bereits gegen Nutzer ausnutzen. Der Hersteller benennt die Schwachstelle als Type-Confusion-Fehler in V8, der JavaScript- und WebAssembly-Engine, und ordnet sie damit einer Klasse von Problemen zu, bei denen Typannahmen im Laufzeitkontext nicht zuverlässig eingehalten werden.
Technisch wird die Gefahr bei CVE-2026-85046 dort greifbar, wo V8 unterschiedliche Datenrepräsentationen im Speicher erwartet. Laut Beschreibung zu der CVE führt die Type-Confusion dazu, dass eine Situation entsteht, in der eine Art von Elementen nicht so behandelt wird, wie das System sie eigentlich klassifizieren sollte. Konkret wird dabei eine Umleitung zwischen internen Array-Datenstrukturen beschrieben, sodass das Ergebnis nicht nur die Integrität des Typs verletzt, sondern in der Folge auch unerwünschte Speicherzugriffe ermöglichen kann. Das Bild, das daraus entsteht, ist klar: Ein Angreifer braucht eine präparierte Eingabe, etwa über eine manipulierte HTML-Seite, um die Engine in eine fehlerhafte Zustandsführung zu bringen und dadurch Code-Ausführung innerhalb der Sandbox zu erreichen.
Für die Geschwindigkeit, mit der Nutzer handeln sollten, ist die Exploit-Realität entscheidend. Google bestätigt, dass für CVE-2026-85046 ein Exploit existiert, verzichtet aber bewusst auf Details zur Angriffsausnutzung. Diese Zurückhaltung verfolgt im Kern zwei Ziele: erstens sollen möglichst viele Anwender schnell auf die fixen Versionen wechseln, bevor sich Angriffsvarianten weiter verbreiten; zweitens sollen keine konkreten Schritte offengelegt werden, die sofort als Blaupause für Nachbauten dienen könnten. Gleichzeitig macht die veröffentlichte Fix-Strategie deutlich, dass der Hersteller nicht nur „eine“ Lücke adressiert, sondern ein Paket aus mehreren Sicherheitsproblemen schnürt – inklusive weiterer Zero-Days, die im bisherigen Jahresverlauf bereits mehrfach gemeldet und aktiv ausgenutzt wurden.
In Summe spricht Google von sechs aktiv ausgenutzten Chrome-Zero-Days seit Jahresbeginn. Neben CVE-2026-85046 werden in diesem Kontext unter anderem CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281 und CVE-2026-11645 genannt. Das Muster ist für IT-Betriebe wichtig: Solche Cluster treten häufig dann auf, wenn Angreifer entweder eine ergiebige Exploit-Kette besitzen oder wenn mehrere Schwachstellen in eng verwandten Komponenten entstehen. V8 ist dabei nicht isoliert zu betrachten, sondern als Teil einer breiten Chrome-Architektur, in der Parser, Compiler, Speicherverwaltung und Sandbox-Mechanismen miteinander zusammenspielen. Damit steigt die Wahrscheinlichkeit, dass ein einzelnes Update kurzfristig gleich mehrere Angriffsflächen schließt, selbst wenn die einzelnen CVEs unterschiedlich gelagert sind.
Beim verantwortlichen Disclosure wird in der Sicherheitsbeschreibung auch die Rolle eines Forschers hervorgehoben: Salvatore Gulizia, auch bekannt als Serotav, wird als Entdecker und Melder der Schwachstelle genannt. Für die Meldung erhielt er einen Bug Bounty von $1.000 für verantwortungsbewusste Offenlegung. Solche Programme sind für die Herstellerstrategie relevant, weil sie Risiken durch unabhängige Sicherheitsforschung frühzeitig in die Melde- und Patch-Prozesse überführen. Gerade bei V8-Lücken ist außerdem die Entwicklungs- und Testkomplexität hoch: Änderungen in Optimierungs- oder Compiler-Pfaden müssen nicht nur korrekt funktionieren, sondern auch Speicherzugriffe und Typinferenz so konsistent abdecken, dass bestehende Anwendungen nicht brechen.
Für die Anwender nennt Google konkrete Zielversionen. Optimaler Schutz entsteht, wenn Chrome auf Version 152.0.7977.82/.83 aktualisiert wird – für Windows und Apple macOS ebenso wie für Linux. Damit das Update auch wirklich aktiv wird, empfiehlt Google, den Browser über „More > Help > About Google Chrome“ anzustoßen und anschließend „Relaunch“ zu wählen. Wer andere Chromium-basierte Browser nutzt, etwa Microsoft Edge, Brave, Opera oder Vivaldi, sollte die jeweiligen Updates parallel einspielen, sobald sie verfügbar sind. Aus Unternehmenssicht ist das ein klarer Hinweis auf die betriebliche Patch-Disziplin: Browser-Updates sollten nicht als „Schönwetter“-Wartung betrachtet werden, sondern als sicherheitskritische Maßnahme mit kurzen Zeitfenstern.
Auch für Entwickler und Sicherheitsteams bleibt die Meldung nicht beim reinen Patch-Aufruf stehen. Eine Type-Confusion in einem JIT- oder Compiler-nahen Pfad zeigt, dass moderne Browser-Engines weiterhin zu den Angriffszielen gehören, weil sie sehr aggressiv optimieren. Gleichzeitig macht die Veröffentlichung deutlich, warum Sandboxing allein kein Allheilmittel ist: Wenn ein Angreifer Kontrolle über die internen Zustände gewinnt, kann selbst die Abgrenzung im Extremfall durchlässig werden. Für die nächsten Wochen ist deshalb vor allem die tatsächliche Verteilung der Fixes entscheidend – also, ob Flottenmanagement, Update-Richtlinien und Nutzerverhalten zusammenwirken. In der Praxis heißt das: IT-Teams sollten die Versionserreichbarkeit in ihren Umgebungen prüfen und Browser-Startpfade so gestalten, dass „Update installiert, aber nicht neu gestartet“ nicht zur Lücke im Sicherheitsprozess wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Chrome-Update stoppt aktiv ausgenutzte V8-Zero-Days und schließt 12 Lücken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Chrome-Update stoppt aktiv ausgenutzte V8-Zero-Days und schließt 12 Lücken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Chrome-Update stoppt aktiv ausgenutzte V8-Zero-Days und schließt 12 Lücken« bei Google Deutschland suchen, bei Bing oder Google News!