Chrome-Update: Google schließt aktiv ausgenutzte XML-Sicherheitslücke

Google hat am 9. November 2026 Notfall- und Sicherheitsupdates für seinen Webbrowser Chrome bereitgestellt. Mit der Aktualisierung reagiert der Konzern auf eine als schwerwiegend eingestufte Sicherheitslücke, die nach Angaben des Unternehmens bereits aktiv für Angriffe ausgenutzt wird. Die Schwachstelle mit der Kennung CVE-2026-125350 betrifft den XML-Parser des Browsers und basiert auf einem Speicherfehler des Typs Use-After-Free.

Ein anonymer Sicherheitsforscher hatte die Schwachstelle am 6. November 2026 an Google gemeldet. Zu den mutmaßlichen Angreifern sowie den genauen Angriffsmethoden machte der Konzern zunächst keine Angaben.

Genauere technische Details sollen erst zu einem späteren Zeitpunkt offengelegt werden, um Nutzern Zeit für das Einspielen der Fehlerbehebungen zu geben. Ein Ausbrechen aus der Browser-Sandbox wurde in den Sicherheitshinweisen bislang nicht bestätigt.

Achte behobene Zero-Day-Lücke des laufenden Jahres

Bei der geschlossenen Schwachstelle handelt es sich um die achte Zero-Day-Lücke in Google Chrome, die im Jahr 2026 bereits vor der Veröffentlichung eines Patches aktiv ausgenutzt wurde. Zuvor hatte der Konzern im Februar die Lücke CVE-2026-2441 behoben, gefolgt von CVE-2026-3909 und CVE-2026-3910 im März sowie CVE-2026-5281 im April.

Im Juni schloss Google die Schwachstelle CVE-2026-11645 und im September die Lücken CVE-2026-87491 sowie CVE-2026-85046. Im Vorjahr 2025 hatte Google insgesamt acht ausgenutzte Zero-Day-Schwachstellen im Chrome-Browser bereinigt.

Neben der aktiv attackierten Schwachstelle schließt die aktuelle Aktualisierung acht weitere Fehler. Insgesamt wurden damit neun Sicherheitslücken adressiert, von denen sieben als hohes Risiko und zwei als mittleres Risiko eingestuft sind. Sechs dieser neun Schwachstellen entdeckte Google nach eigenen Angaben selbst.

Ein einziger Klick auf einen präparierten Link kann ausreichen, um Schadsoftware auf den Rechner zu schleusen. Wie Sie den bereits in Ihrem System vorhandenen Schutz optimal konfigurieren, um Viren und Trojaner abzuwehren, zeigt dieser kostenlose Ratgeber. Windows Defender Anleitung 2026 jetzt gratis herunterladen

Behoben wurden unter anderem Fehler in den Bereichen WebGL, FileSystem, Compositing, GPU, V8 und XML. Zu den behobenen Problemen zählen ein Pufferüberlauf beim Compositing, ein Schreibfehler außerhalb der Speichergrenzen in der GPU-Komponente sowie ein Typverwirrungsfehler in der JavaScript-Engine V8.

Bereitstellung der Versionen und Handlungsempfehlungen

Die neuen Chrome-Versionen tragen die Versionsnummern 157.0.8103.50 sowie 157.0.8103.51 für Windows und macOS; für Linux wurde die Version 157.0.8103.50 für den stabilen Desktop-Kanal freigegeben. Die US-Behörde CISA führte die Schwachstelle CVE-2026-125350 zum Zeitpunkt der Veröffentlichung noch nicht in ihrem Katalog bekannter ausgenutzter Sicherheitslücken.

Dagegen veröffentlichte die IT-Sicherheitsbehörde GovCERT.HK eine Warnung unter der Kennung A26-11-12 für Chrome-Installationen vor Version 157.0.8103.50. Die Behörde warnte vor möglichen Folgen wie der Ausführung von Schadcode aus der Ferne, Denial-of-Service-Zuständen sowie der Umgehung von Sicherheitsbeschränkungen und listete die Kennungen CVE-2026-125342 bis CVE-2026-125350 als betroffen auf.

Da Cyberkriminelle immer neue Wege finden, um Sicherheitslücken in Browsern und Betriebssystemen auszunutzen, wird eine proaktive Absicherung des PCs immer wichtiger. Erfahren Sie in dieser Experten-Anleitung, wie Sie Ihren Computer mit einfachen Einstellungen effektiv vor aktuellen Bedrohungen schützen. Kostenlose Anleitung für optimalen Virenschutz anfordern

Der weltweite Rollout der Updates soll schrittweise über einen Zeitraum von Tagen bis Wochen erfolgen. Nutzern wird empfohlen, den Aktualisierungsstatus manuell über das Dreipunkt-Menü unter Hilfe und den Menüpunkt Info zu Google Chrome zu prüfen und den Browser anschließend neu zu starten.

Da auch andere Browser auf der Chromium-Basis aufbauen, sind verwandte Programme wie Microsoft Edge, Brave, Opera und Vivaldi ebenfalls von den zugrundeliegenden Schwachstellen betroffen und müssen entsprechende Korrekturen einpflegen.

Unternehmen wird geraten, über zentrale Verwaltungswerkzeuge sicherzustellen, dass Geräte auf die Version 157.0.8103.50 oder höher aktualisiert und neu gestartet werden. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) wies in diesem Zusammenhang darauf hin, dass Cyberkriminelle bekannte Lücken besonders häufig in den ersten Tagen nach deren Veröffentlichung ins Visier nehmen.

Mehr zum Thema bei ComputerBase: „Chrome: Update schließt aktiv ausgenutzte Sicherheitslücke“