Google hat ein Update für den Stable Channel von Chrome auf die Versionen 157.0.8103.50/.51 für Windows und macOS sowie 157.0.8103.50 für Linux veröffentlicht und damit neun Sicherheitslücken behoben. Eine davon – CVE-2026-125350, ein use-after-free-Fehler in der XML-Komponente – wird bereits von Angreifern ausgenutzt. Google bestätigt: „Ein Exploit für CVE-2026-125350 existiert in freier Wildbahn.“ Die Schwachstelle wurde am 10. November 2026 in den CISA-KEV-Katalog aufgenommen, mit einer Frist zur Behebung bis zum 24. November 2026. Alle Nutzer von Chrome und Chromium-basierten Browsern müssen umgehend aktualisieren.
Aktiv ausgenutzte Schwachstelle: CVE-2026-125350
Use-after-free (Verwendung nach der Freigabe) ist eine Klasse von Fehlern im Speichermanagement, bei denen ein Programm auf einen Speicherbereich zugreift, nachdem dieser freigegeben wurde. Die erfolgreiche Ausnutzung solcher Schwachstellen kann zu Datenkorruption, Abstürzen von Prozessen oder zur Ausführung beliebigen Codes führen. CVE-2026-125350 betrifft die XML-Verarbeitungskomponente in Chrome und wurde von Google mit dem Schweregrad High eingestuft. Die Schwachstelle wurde am 6. November 2026 von einem anonymen Forscher gemeldet, und der Patch erschien bereits am 9. November – nur drei Tage später.
Google macht keine Angaben zu den Details der Ausnutzung: Weder der Angriffsmechanismus noch die Zielgruppe der Angriffe oder die dahinterstehenden Gruppen sind bekannt. Eine CVSS-Bewertung liegt zum Zeitpunkt der Veröffentlichung ebenfalls noch nicht vor. Der Zugriff auf die Details des Bug-Reports ist eingeschränkt, bis die Mehrheit der Nutzer das Update erhalten hat.
Zusammenhang zweier XML-Schwachstellen über gemeinsamen Code
Eine bemerkenswerte technische Einzelheit: In diesem Update wurden zwei use-after-free-Schwachstellen in XML behoben – CVE-2026-125350 und CVE-2026-125346 (entdeckt von Arni Hardarson von Neonix Security am 12. Oktober 2026). Laut dem Commit-Log des Chrome-157-Zweigs wurden beide Probleme durch einen einzigen Patch behoben, der ein use-after-free im Direct-Match-Template-Cache der libxslt-Bibliothek korrigiert. Das bedeutet, dass beide CVEs mit demselben verwundbaren Codeausführungspfad verknüpft sind, was Sicherheits-Teams bei der Überprüfung der Implementierung des Updates einen gemeinsamen Validierungspunkt bietet.
Vollständige Liste der behobenen Schwachstellen
Neben der aktiv ausgenutzten CVE-2026-125350 schließt das Update acht weitere Schwachstellen – sieben mit dem Schweregrad High und zwei mit mittlerem Schweregrad:
- CVE-2026-125345 (High) – nicht initialisierte Ressource in WebGL
- CVE-2026-125347 (High) – fehlerhafte Autorisierung in FileSystem
- CVE-2026-125343 (High) – Pufferüberlauf in Compositing
- CVE-2026-125348 (High) – Schreiben außerhalb des Puffers in GPU
- CVE-2026-125344 (High) – Typverwechslung (type confusion) in V8
- CVE-2026-125346 (High) – use-after-free in XML (oben beschrieben)
- CVE-2026-125349 (Medium) – nicht initialisierte Ressource in GPU
- CVE-2026-125342 (Medium) – nicht initialisierte Ressource in GPU
Die meisten Schwachstellen wurden von internen Google-Teams im Zeitraum von Juli bis Oktober 2026 entdeckt. Externe Forscher – Arni Hardarson (Neonix Security), Vo Duc Thang und ein anonymer Melder – berichteten über drei der neun Probleme.
Bewertung der Auswirkungen
Gefährdet sind alle Nutzer der Desktop-Versionen von Google Chrome unter Windows, macOS und Linux sowie Nutzer von Chromium-basierten Browsern wie Microsoft Edge, Brave, Opera und Vivaldi. Das Set an Schwachstellen betrifft kritische Komponenten: die Grafik-Engine (WebGL, GPU, Compositing), die JavaScript-Engine V8, das Dateisystem und die XML-Verarbeitung. Schwachstellen vom Typ type confusion in V8 und Schreiben außerhalb des Puffers in der GPU gehören erfahrungsgemäß zu den gefährlichsten für Browser-Angriffe, da sie zur Ausführung beliebigen Codes im Kontext des Rendering-Prozesses führen können.
Früher haben wir bereits über die Entwicklung funktionsfähiger Exploits für Chrome berichtet – dieser Fall bestätigt, dass Browser-Schwachstellen weiterhin ein vorrangiges Ziel für Angreifer bleiben.
Empfehlungen
CVE-2026-125350 sollte ganz oben auf Ihrem Plan zur Schwachstellenbeseitigung stehen: Sie ist die einzige der neun Lücken, für die Google eine Ausnutzung in freier Wildbahn bestätigt. Die übrigen acht Schwachstellen sind ebenfalls vorrangig zu behandeln, stehen jedoch an zweiter Stelle.
- Aktualisieren Sie Chrome auf Version 157.0.8103.50 (Linux) bzw. 157.0.8103.50/.51 (Windows, macOS). Öffnen Sie dazu Menü → Hilfe → Über Google Chrome und starten Sie den Browser neu.
- Überprüfen Sie ausgerollte Versionen in Unternehmensumgebungen. Google weist darauf hin, dass das Update „in den kommenden Tagen oder Wochen verteilt wird“, sodass das automatische Update keine sofortige Abdeckung aller Geräte garantiert.
- Aktualisieren Sie Chromium-basierte Browser – Edge, Brave, Opera, Vivaldi – sobald die jeweiligen Anbieter Patches veröffentlichen.
- Für Organisationen, die den CISA-Vorgaben unterliegen: Die Frist zur Behebung von CVE-2026-125350 endet am 24. November 2026.
Das Fehlen öffentlicher Details zum Exploit mindert die Dringlichkeit nicht: Google beschränkt Informationen bewusst, bis ein Großteil der Nutzer aktualisiert hat. Die einzige verlässliche Schutzmaßnahme ist das Einspielen des Patches. Angesichts der Tatsache, dass das Update zwei zusammenhängende Schwachstellen in libxslt durch einen einzigen Commit behebt, bestätigt die Prüfung der Browserversion gleichzeitig die Schließung beider Probleme in der XML-Verarbeitung.
