Am 20. Oktober 2026 hat Google Chrome 156 für Windows, Mac und Linux veröffentlicht und dabei 353 Sicherheitsschwachstellen behoben, von denen sechs als kritisch eingestuft wurden. Das Update betrifft alle Desktop-Plattformen: die Builds 156.0.8078.47 für Linux und 156.0.8078.47/.48 für Windows und Mac. Der Umfang des Patches gehört zu den größten in der Geschichte von Chrome: Zum Vergleich, in Chrome 153 wurden 230 Schwachstellen geschlossen. Allen Chrome-Nutzern auf Desktop-Plattformen wird empfohlen, umgehend zu aktualisieren.
Sechs kritische Schwachstellen
Gemäß dem offiziellen Sicherheitshinweis von Google wurden sechs CVEs mit einem kritischen Schweregrad bewertet. Alle gehören zu den Klassen Speicherbeschädigung (memory corruption) oder Verwendung bereits freigegebenen Speichers (use-after-free) – Schwachstellentypen, die potenziell die Ausführung von beliebigem Code ermöglichen:
- CVE-2026-113341 – Speicherbeschädigung in Skia (Grafikbibliothek), von Google entdeckt
- CVE-2026-113279 – Speicherbeschädigung in Accessibility, von Xinyang Ge entdeckt
- CVE-2026-113072 – Speicherbeschädigung in CSS, von Xinyang Ge entdeckt
- CVE-2026-113280 – Speicherbeschädigung in Paint, von Xinyang Ge entdeckt
- CVE-2026-113271 – use-after-free in Accessibility, von Xinyang Ge (Anthropic) mit Unterstützung von Claude entdeckt
- CVE-2026-113303 – Speicherbeschädigung in WebRTC, entdeckt von OpenAI Codex Security (kylebot)
Google hat für diese Schwachstellen keine CVSS-Bewertungen veröffentlicht. Details zu den Bugs und Links darauf können so lange zurückgehalten werden, bis die Mehrheit der Nutzer das Update erhalten hat.
KI-Systeme als Schwachstellenforscher
Ein bemerkenswertes Merkmal dieses Releases ist das Auftauchen von KI-Systemen in der Liste der Forschenden. Laut dem Sicherheitshinweis von Google wurde die kritische CVE-2026-113271 mit Unterstützung von Claude (Anthropic) entdeckt, und die kritische CVE-2026-113303 wird dem Team von OpenAI Codex Security zugeschrieben. Neben den kritischen tauchen KI-Systeme auch bei Schwachstellen mit hohem Schweregrad auf: Ein use-after-free in V8 (CVE-2026-113044) wurde ebenfalls von OpenAI Codex Security entdeckt, und mehrere weitere Schwachstellen mit hohem Schweregrad gehen auf Xinyang Ge von Anthropic mit Unterstützung von Claude zurück. Diese Zuschreibungen sind bislang nur durch den Sicherheitshinweis von Google bestätigt; unabhängige öffentliche Bestätigungen wurden zum Zeitpunkt der Veröffentlichung nicht gefunden.
Umfang und Struktur der Fixes
Neben den sechs kritischen listet der Sicherheitshinweis Dutzende von Schwachstellen mit hohem Schweregrad auf. Zu den am stärksten betroffenen Komponenten gehören:
- ANGLE (Grafik-Abstraktionsschicht) – mehrere Speicherbeschädigungen, use-after-free und Eingabevalidierungsfehler
- V8 (JavaScript-Engine) – Speicherbeschädigungen und use-after-free
- WebRTC, WebGL, Canvas – Multimedia- und Rendering-Komponenten
- Navigation, SiteIsolation – Isolations- und Navigationsmechanismen
- Extensions – mehrere Probleme im Erweiterungs-Subsystem
Ein erheblicher Teil der Schwachstellen wurde von internen Teams bei Google entdeckt. Zu den externen Forschenden gehören Xinyang Ge (sowohl eigenständig als auch für Anthropic), Arni Hardarson von Neonix Security, Quyen Son von VinFast (der die höchste angegebene Belohnung von $10.000 für CVE-2026-113101 – ein use-after-free in SiteIsolation – erhielt) sowie eine Reihe unabhängiger Forschender.
Besonders hervorzuheben ist, dass eine der Schwachstellen mit mittlerem Schweregrad (CVE-2026-113079, use-after-free in SiteIsolation) ursprünglich bereits im März 2021 gemeldet wurde und somit mehr als fünf Jahre lang offen blieb.
Status der Ausnutzung
Zum Zeitpunkt der Veröffentlichung ist keine der aufgeführten Schwachstellen in den CISA-KEV-Katalog aufgenommen worden. Der Sicherheitshinweis von Google enthält keine Hinweise auf eine bestätigte aktive Ausnutzung. Dennoch machen der kritische Schweregrad und die Art der Schwachstellen – Speicherbeschädigung und use-after-free in zentralen Rendering- und Multimedia-Komponenten – sie zu attraktiven Zielen für die Entwicklung von Exploits.
Empfehlungen
- Aktualisieren Sie Chrome auf Version 156.0.8078.47 (Linux) bzw. 156.0.8078.47/.48 (Windows/Mac) über das Menü „Hilfe → Über Google Chrome“
- Starten Sie den Browser neu nach dem Update – die Patches werden erst nach einem Neustart wirksam
- Prüfen Sie Chromium-basierte Browser (Microsoft Edge, Brave, Opera, Vivaldi) – sie verwenden gemeinsame Komponenten und werden voraussichtlich in Kürze entsprechende Updates erhalten
- Für Unternehmensadministratoren: Angesichts von sechs kritischen Schwachstellen in Rendering-Komponenten sollte die Verteilung des Updates priorisiert und nicht dem Standardzyklus überlassen werden
Chrome 156 ist ein umfangreiches Sicherheitsupdate mit einer Rekordzahl an Fixes und sechs kritischen Schwachstellen in zentralen Browserkomponenten. Da Google den Zugriff auf Details zu den Schwachstellen einschränkt, bis die Nutzerbasis weitgehend aktualisiert ist, ist das Zeitfenster für die sichere Anwendung des Patches begrenzt. Aktualisieren Sie Chrome auf allen verwalteten Geräten auf Version 156.0.8078.47 oder höher und stellen Sie sicher, dass die automatische Aktualisierung für nicht verwaltete Arbeitsstationen aktiviert ist.
