Am 3. September 2026 hat Google ein Update veröffentlicht für den Stable Channel von Chrome auf Desktop-Plattformen, das 12 Schwachstellen behebt, darunter CVE-2026-85046 – einen type confusion-Fehler in der V8-Engine mit einem CVSS-Score von 8.8, der bereits aktiv von Angreifern ausgenutzt wird. Dies ist die sechste von Google bestätigte Zero-Day-Schwachstelle in Chrome seit Anfang 2026. Alle Nutzer von Chrome und Chromium-basierten Browsern sollten umgehend auf Version 152.0.7977.82 oder höher aktualisieren.
Technische Details der Schwachstelle
Die Schwachstelle CVE-2026-85046 gehört zur Klasse type confusion (Verwechslung von Typen) und betrifft V8 – die JavaScript- und WebAssembly-Engine, die in Google Chrome eingesetzt wird. Laut dem Eintrag in der GitHub Advisory Database erlaubt der Fehler einem entfernten Angreifer, über eine speziell gestaltete HTML-Seite beliebigen Code innerhalb der Browser-Sandbox auszuführen.
Das Kernproblem liegt in einem fehlerhaften Verhalten der V8-Compiler: Ein Array mit dem Elementtyp PACKED_ELEMENTS erhält eine Map (map) PACKED_SMI_ELEMENTS, was zu einer Diskrepanz zwischen dem tatsächlichen Inhalt des Arrays und seiner internen Darstellung in der Engine führt. Eine solche Diskrepanz ermöglicht beliebige Lese- und Schreibzugriffe auf den JavaScript-Heap – ein klassischer Primitive für eine weitergehende Ausnutzung.
Betroffene Versionen und Fixes:
- Windows und macOS: verwundbar sind Versionen vor 152.0.7977.82; behoben in 152.0.7977.82/.83
- Linux: verwundbar sind Versionen vor 152.0.7977.82; behoben in 152.0.7977.82
Entdeckt und gemeldet wurde die Schwachstelle vom Sicherheitsforscher Salvatore Gulizia (auch bekannt als Serotav) am 4. August 2026. Google zahlte für die verantwortungsvolle Meldung eine Prämie in Höhe von 1.000 US-Dollar. Zwischen dem Bericht des Forschers und der Veröffentlichung des Patches vergingen rund 30 Tage – ein typischer Zeitraum für Schwachstellen mit hoher Schwere in Chrome.
Sechster Chrome-Zero-Day im Jahr 2026
Mit CVE-2026-85046 hat Google für das Jahr 2026 bereits die aktive Ausnutzung von sechs Zero-Day-Schwachstellen in Chrome bestätigt. Auch jede der bisherigen fünf wies eine hohe Schwere auf:
- CVE-2026-2441 – use-after-free in der CSS-Komponente (Februar 2026)
- CVE-2026-3910 – Implementierungsfehler in V8 (März 2026)
- CVE-2026-3909 – Out-of-bounds-Schreibzugriff in Skia (März 2026)
- CVE-2026-5281 – use-after-free in Dawn (März 2026)
- CVE-2026-11645 – Out-of-bounds-Speicherzugriff in V8 (Juni 2026)
Drei der sechs Zero-Day-Schwachstellen (CVE-2026-3910, CVE-2026-11645 und nun CVE-2026-85046) stehen im Zusammenhang mit der V8-Engine, was ihre Rolle als priorisierte Angriffsoberfläche unterstreicht. V8 verarbeitet sämtlichen JavaScript-Code auf Webseiten, und seine JIT-Compiler sind ein komplexes Optimierungssystem, in dem Typisierungsfehler an der Schnittstelle zwischen Interpretation und Kompilierung entstehen.
Bewertung der Auswirkungen
Google hat das Vorhandensein eines Exploits für CVE-2026-85046 „in the wild“ bestätigt, jedoch keine Details zu den Angriffen offengelegt – weder zu Zielbranchen noch zu Geografie oder Attribution. Das Unternehmen beschränkt den Zugang zu Details der Schwachstelle, bis die Mehrheit der Nutzer das Update installiert hat.
Obwohl die Codeausführung auf die Chrome-Sandbox beschränkt ist, wurden type confusion-Schwachstellen in V8 historisch in Exploit-Chains eingesetzt: Zunächst wird Codeausführung innerhalb der Sandbox erreicht, anschließend wird eine separate Schwachstelle genutzt, um aus ihr auszubrechen. Der CVSS-Score von 8.8 spiegelt eine hohe Schwere und die Möglichkeit der Ausnutzung ohne Benutzerinteraktion wider – abgesehen vom Aufruf einer bösartigen Seite.
Angesichts des Marktanteils von Chrome im Desktop-Browser-Segment umfasst die potentielle Angriffsfläche Milliarden von Geräten. Auch Nutzer von Chromium-basierten Browsern – Microsoft Edge, Brave, Opera, Vivaldi – sind bis zur Veröffentlichung entsprechender Updates durch deren Hersteller gefährdet.
Empfehlungen
Das Update sollte umgehend installiert werden:
- Öffnen Sie Chrome und navigieren Sie zu Menü → Hilfe → Über Google Chrome
- Der Browser prüft automatisch auf Updates und lädt Version 152.0.7977.82 oder höher herunter
- Klicken Sie auf „Neu starten“, um das Update anzuwenden
- Vergewissern Sie sich, dass die angezeigte Version nicht unter 152.0.7977.82 liegt
Für Unternehmensumgebungen mit zentralisiert verwalteten Browsern wird empfohlen, das Update per Gruppenrichtlinien oder Konfigurationsmanagement-Systemen zwangsweise zu verteilen, ohne auf die automatische Aktualisierung zu warten. Nutzer anderer Chromium-basierter Browser sollten die Veröffentlichung von Patches durch die jeweiligen Anbieter im Blick behalten und diese unmittelbar nach Erscheinen installieren.
Sechs bestätigte Zero-Day-Schwachstellen in acht Monaten des Jahres 2026 – davon drei in V8 – weisen auf ein anhaltendes Interesse von Angreifern an der JavaScript-Engine von Chrome hin. Die einzig wirksame Schutzmaßnahme besteht darin, den Browser stets aktuell zu halten. Überprüfen Sie die Chrome-Version auf allen Arbeits- und Privatgeräten und stellen Sie sicher, dass Build 152.0.7977.82 oder neuer installiert ist.
