Google hat Notfall-Sicherheitsupdates veröffentlicht, um eine neue Chrome-Sicherheitslücke zu patchen, die in Zero-Day-Angriffen ausgenutzt wird, der achte solche Fehler seit Jahresbeginn.
„Google ist sich bewusst, dass ein Exploit für CVE-2026-125350 in der Wildnis existiert“, hieß es in einer Sicherheitsberatung vom Montag.
Der Fehler ist eine schwerwiegende Use-After-Free-Schwachstelle in der XML-Komponente des Google Chrome-Webbrowser. Er tritt auf, wenn der XML-Parser des Browsers Daten verarbeitet, ein Objekt aus dem Computerspeicher löscht, aber den Zeiger, der auf dieses Objekt verweist, nicht löscht. Angreifer können diese Speicherbeschädigungsschwachstelle ausnutzen, wenn der Browser später versucht, diesen freigegebenen Speicherbereich zu verwenden oder zu lesen, um die Speicherlayout zu manipulieren und schädlichen Code auszuführen.
Ein anonymer Forscher hat das Problem am 6. November bei Google gemeldet. Google hat keine weiteren Details zu den Angriffen bekannt gegeben, die die Sicherheitslücke ausnutzen.
„Der Zugriff auf Bug-Details und Links kann eingeschränkt bleiben, bis die Mehrheit der Benutzer mit einem Update versorgt ist. Wir werden die Einschränkungen auch beibehalten, wenn der Bug in einer Drittanbieter-Bibliothek existiert, von der andere Projekte ebenfalls abhängen, diese aber noch nicht behoben haben“, bemerkte Google.
Die Patches sind in den Chrome 157-Updates enthalten, speziell in den Versionen 157.0.8103.50/.51 für Windows und Mac sowie 157.0.8103.50 für Linux. Google sagt, dass das Sicherheitsupdate Tage oder Wochen dauern kann, bis es alle Chrome-Benutzer erreicht.
Seit Jahresbeginn hat Google sieben andere aktiv ausgenutzte Zero-Day-Sicherheitslücken behoben:
- CVE-2026-2441, ein Iterator-Invalidierungs-Bug in CSSFontFeatureValuesMap, Mitte Februar behoben
- CVE-2026-3909, eine Out-of-Bounds-Write-Schwachstelle in der Skia 2D-Grafikbibliothek, im März gepatcht
- CVE-2026-3910, eine unangemessene Implementierungsschwachstelle in der V8 JavaScript- und WebAssembly-Engine, im März gepatcht
- CVE-2026-5281, eine Use-After-Free-Schwachstelle in Dawn, im April gepatcht
- CVE-2026-11645, eine Out-of-Bounds-Read- und Write-Sicherheitslücke in der V8 JavaScript-Engine von Chrome, im Juni gepatcht
- CVE-2026-85046, ein Type-Confusion-Fehler in der V8 JavaScript-Engine, im September behoben
- CVE-2026-87491, ein Out-of-Bounds-Write-Fehler in der V8 JavaScript-Engine, im September behoben