Am 8. September 2026 hat Google die stabile Version von Chrome 153 (153.0.8010.36 für Linux, 153.0.8010.36/.37 für Windows und Mac) mit der Behebung von 230 Sicherheitsschwachstellen veröffentlicht. Dies ist eines der umfangreichsten Chrome-Updates der letzten Zeit: Es wurden 5 kritische Schwachstellen, mehr als 40 Schwachstellen mit hoher Schwere und Dutzende Probleme mittlerer Schwere beseitigt. Das Update betrifft alle Desktop-Plattformen — Windows, Mac und Linux. Allen Nutzern von Chrome und Chromium-basierten Browsern wird empfohlen, so bald wie möglich zu aktualisieren.
Kritische Schwachstellen: WebGL als Hauptziel
Vier der fünf kritischen Schwachstellen konzentrieren sich auf die Komponente WebGL — ein API für das Rendering von 3D-Grafik im Browser. Das weist auf ein systemisches Problem in diesem Subsystem hin:
- CVE-2026-87464 — use after free in WebGL (entdeckt von Lexi Groves, Belohnung 2.500 US-Dollar)
- CVE-2026-87488 — use after free in WebGL (von Google entdeckt)
- CVE-2026-87438 — Schreiben außerhalb des Puffers (out of bounds write) in WebGL (von Google entdeckt)
- CVE-2026-87527 — Pufferüberlauf (buffer overflow) in WebGL (von Google entdeckt)
- CVE-2026-87628 — use after free in Cast (entdeckt von Hafiizh)
Schwachstellen des Typs use after free ermöglichen es einem Angreifer, auf einen bereits freigegebenen Speicherbereich zuzugreifen, was zur Ausführung beliebigen Codes führen kann. Schreiben außerhalb des Puffers und Pufferüberläufe sind klassische Fehler im Umgang mit Speicher, die ebenfalls den Weg zur Ausführung von Angreifercode öffnen. Drei der vier kritischen WebGL-Schwachstellen wurden von Google selbst entdeckt, was auf ein intensives internes Audit dieser Komponente hinweist.
Schwachstellen mit hoher Schwere
Die Liste der Schwachstellen mit dem Schweregrad High umfasst ein breites Spektrum an Chrome-Komponenten. Zu den bemerkenswertesten gehören:
Probleme im Grafik-Stack (ANGLE, WebGL, GPU, Dawn): Zahlreiche Schwachstellen — out of bounds read und write, buffer overflow, use after free, uninitialisierte Ressourcen — betreffen Grafikverarbeitungskomponenten. Darunter CVE-2026-87512 (use after free in ANGLE), CVE-2026-87654 (buffer overflow in ANGLE), CVE-2026-87621 (out of bounds write in ANGLE), CVE-2026-87650 (out of bounds read in WebGL). Eine derartige Konzentration von Problemen im Grafik-Stack macht ihn zu einer prioritären Angriffsfläche.
Schwachstellen in der V8-Engine: Es wurden zwei type confusion-Schwachstellen (CVE-2026-87564 und CVE-2026-87612) und zwei use after free-Schwachstellen (CVE-2026-87587 und CVE-2026-87536) entdeckt. type confusion-Schwachstellen in V8 gehören historisch zu den am häufigsten in realen Angriffen ausgenutzten. Wir haben bereits darüber berichtet, dass eine kritische type confusion-Schwachstelle in V8 als zero-day ausgenutzt wurde.
Weitere Komponenten: Behoben wurden use after free-Schwachstellen in Payments (CVE-2026-87558, CVE-2026-87581, CVE-2026-87474), Web Authentication (CVE-2026-87646), Platform (CVE-2026-87460), außerdem eine Injection in DevTools (CVE-2026-87572), Speicherbeschädigung in Codecs (CVE-2026-87444) und Autorisierungsfehler im Network-Modul (CVE-2026-87447).
Beteiligung von KI-Systemen bei der Suche nach Schwachstellen
Besonders auffällig sind zwei Berichte: CVE-2026-87542 (use after free in Input), entdeckt von Google BigSleep@Grape, und CVE-2026-87639 (use after free in WebPackaging), entdeckt von OpenAI Codex Security (amyb). Das zeugt von der wachsenden Rolle von KI-Werkzeugen bei der Entdeckung von Schwachstellen — sowohl interner Systeme von Google als auch externer.
Schwachstellen mittlerer Schwere: breiter Komponentenmix
Unter den Dutzenden von Schwachstellen mittlerer Schwere stechen mehrere Kategorien hervor:
- Autorisierungs- und Isolationsprobleme — Fehler in SiteIsolation, CORS, FileSystem, Extensions, ServiceWorker. Zahlreiche Schwachstellen des Typs „missing authorization“ und „incorrect authorization“ weisen auf die Komplexität des Berechtigungsmodells von Chrome hin
- Informationslecks — in ServiceWorker, Navigation, Downloads, CORS, Extensions, Enterprise
- UI-Probleme — zahlreiche Fälle von UI misrepresentation in Downloads, Payments, FedCM, Geometry, Session, UrlFormatting. Diese Schwachstellen können für Phishing und zur Täuschung von Nutzern eingesetzt werden
- CVE-2026-87478 — observable discrepancy in Autofill, bemerkenswert dadurch, dass der Bug bereits im August 2022 gemeldet wurde und somit mehr als vier Jahre lang offen blieb
Bewertung der Auswirkungen
Das Ausmaß des Updates — 230 Fixes — ist für einen einzelnen Chrome-Release beispiellos. Die kritischen Schwachstellen in WebGL stellen die größte Bedrohung dar: WebGL wird aktiv auf Websites mit 3D-Inhalten, in Browsergames, Kartendiensten und Visualisierungstools eingesetzt. Eine Ausnutzung kann bereits beim Besuch einer bösartigen Webseite ohne zusätzliche Interaktion des Nutzers erfolgen.
V8-Schwachstellen (type confusion und use after free) sind traditionell ein Vektor für das Entkommen aus der Sandbox und die Ausführung beliebigen Codes. Der Ausnutzungsstatus der aufgeführten Schwachstellen ist zum Zeitpunkt der Veröffentlichung nicht als aktiv bestätigt, doch das Vorhandensein von type confusion in V8 erfordert stets erhöhte Aufmerksamkeit.
Empfehlungen
- Aktualisieren Sie Chrome umgehend auf Version 153.0.8010.36 (Linux) bzw. 153.0.8010.36/.37 (Windows/Mac). Das Update ist über das Menü „Hilfe → Über Google Chrome“ verfügbar oder wird automatisch installiert
- Aktualisieren Sie alle Chromium-basierten Browser — Microsoft Edge, Brave, Opera, Vivaldi — auf die entsprechenden Versionen, sobald sie verfügbar sind
- Für Unternehmensumgebungen: Priorisieren Sie die Verteilung des Updates in Anbetracht der kritischen Schwachstellen in WebGL. Falls eine sofortige Aktualisierung nicht möglich ist, erwägen Sie das temporäre Deaktivieren von WebGL über die Richtlinie
--disable-webgl - Überprüfen Sie die Browserversion auf allen Arbeitsstationen — Google weist darauf hin, dass die Verteilung schrittweise über mehrere Tage erfolgen wird
Angesichts von 5 kritischen Schwachstellen mit Potenzial für Remote Code Execution und Dutzenden hochgradiger Probleme im Grafik-Stack und in V8 sollte die Aktualisierung auf Chrome 153 als vorrangige Maßnahme betrachtet werden. Organisationen, die Chromium-basierte Browser einsetzen, müssen die Veröffentlichung der entsprechenden Patches der Hersteller verfolgen und diese ohne Verzögerung einspielen.
