Chrome-Update: Google schließt neun Lücken, darunter aktiv genutzten Zero-Day

Google hat am 9. November 2026 ein außerplanmäßiges Sicherheitsupdate für seinen Webbrowser Chrome veröffentlicht. Die Aktualisierung schließt insgesamt neun Sicherheitslücken, darunter eine als hoch eingestufte Schwachstelle mit der Kennung CVE-2026-125350, die von Angreifern bereits aktiv ausgenutzt wird.

Acht Lücken im laufenden Jahr aktiv ausgenutzt

Die Schwachstelle CVE-2026-125350 wurde am 6. November 2026 von einem anonymen Dritten an Google gemeldet. Es handelt sich um den achten bekannt gewordenen Chrome-Zero-Day im Jahr 2026, der aktiv für Angriffe missbraucht wird.

Zuvor betraf dies im Jahresverlauf bereits die Schwachstellen CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645, CVE-2026-85046 sowie CVE-2026-87491. Damit verzeichnet das Jahr 2026 bereits ebenso viele aktive Zero-Day-Fälle wie das Jahr 2025 mit ebenfalls acht Lücken.

Laut den Angaben zum Chromium-Patch in der Bibliothek libxslt liegt die Ursache in einem Speicherfehler (Use-after-free) innerhalb des Zwischenspeichers für den Musterabgleich.

Eine verschachtelte Auswertung von XML-Daten führt dazu, dass ein zwischengespeichertes Objekt freigegeben oder ersetzt wird, während eine frühere Operation weiterhin auf die veraltete Speicheradresse zugreift, was einen doppelten Freigabevorgang auslöst. Angreifer können diesen Zustand herbeiführen, sobald Anwender eine entsprechend manipulierte Webseite aufrufen.

Ein Klick auf den falschen Link oder eine manipulierte Webseite reicht oft aus, um den eigenen Computer massiven Gefahren auszusetzen. Dieser kostenlose Report zeigt Ihnen, wie Sie den bereits integrierten Windows Defender optimal einstellen, um sich effektiv vor Viren und Trojanern zu schützen. Windows Defender Anleitung jetzt kostenlos herunterladen

Google bestätigte das Vorhandensein von Angriffen in freier Wildbahn, machte jedoch keine näheren Angaben zu Tätern, Zielen, Nutzlasten oder den genutzten Verbreitungswegen. Detaillierte Informationen hält das Unternehmen zurück, bis ein hinreichend großer Anteil der Nutzerschaft die Aktualisierung eingespielt hat.

Behörden und CERT-Stellen raten zur sofortigen Aktualisierung

Neben der akuten Zero-Day-Lücke umfasst das Update sechs weitere Schwachstellen mit dem Schweregrad hoch, unter anderem in den Komponenten WebGL, FileSystem, Compositing, GPU und V8 sowie eine weitere, im Oktober von Arni Hardarson von Neonix Security gemeldete XML-Use-after-free-Lücke (CVE-2026-125346), für die bisher keine Ausnutzung bekannt ist. Zwei Lücken mittleren Risikos betreffen uninitialisierte GPU-Ressourcen.

Sicherheitsbehörden weltweit mahnen zur Eile. Wie das BSI CERT-Bund in einem Bericht vom 10. November 2026 mitteilte, ermöglichen die Schwachstellen in Chrome und Microsoft Edge das Umgehen von Schutzmaßnahmen, Datenmanipulationen sowie die Ausführung beliebigen Codes.

Auch NHS England stufte die Bedrohung über einen Cyber-Alert mit mittlerem Schweregrad ein und erklärte, dass das Nationale CSOC eine weitere Ausnutzung für wahrscheinlich halte. GovCERT.HK und HKCERT verweisen auf Risiken von Denial-of-Service bis hin zu Remotecodeausführung, wobei HKCERT das Gesamtrisiko als extrem hoch bewertet.

Wer sich vor komplexen Bedrohungen und Datenklau schützen möchte, sollte nicht nur auf Browser-Updates, sondern auch auf moderne Sicherheitsverfahren setzen. Ein aktueller Gratis-Ratgeber erklärt, wie Sie Passkeys für eine sichere Anmeldung bei Amazon, WhatsApp und Co. nutzen und so Hackerangriffe verhindern. Kostenlosen Report für passwortlose Sicherheit anfordern

Laut DFN-CERT lassen sich die Lücken aus der Ferne ohne erweiterte Rechte über Nutzerinteraktionen ausnutzen; dort wird zudem auf Edge 157.0.4341.42 für mobile Systeme und Desktop vom 6. November 2026 verwiesen. Die US-Behörde CISA führte CVE-2026-125350 am 9. November 2026 noch nicht in ihrem KEV-Katalog.

Verteilung der Updates und parallele Patches bei Mozilla

Google liefert die Korrekturen mit den Chrome-Versionen 157.0.8103.50/.51 für Windows und macOS sowie 157.0.8103.50 für Linux und Android aus. Für den Kanal Extended Stable steht die Version 156.0.8078.96 für macOS und Windows bereit, die elf Korrekturen enthält.

Die Verteilung erfolgt schrittweise; der Schutz greift erst nach einem vollständigen Neustart des Browsers. Bei Chromium-basierten Alternativen wie Microsoft Edge, Opera, Brave und Vivaldi sind separate Updates der jeweiligen Hersteller erforderlich. Während Vivaldi die Fixes bereits integriert hat, arbeitet Microsoft an einer Aktualisierung für Edge.

Parallel dazu gibt es Sicherheitsaktualisierungen im Firefox-Ökosystem: Mozilla stellte Firefox 160 mit funktionellen Erweiterungen wie einem Mini-Fenster und lokaler Spracherkennung bereit, während Firefox 161 für den 24. November 2026 in der stabilen Fassung vorgesehen ist. Für Firefox ESR 115.45 wurden 27 schwerwiegende Sicherheitslücken behoben, darunter Speicher- und Sandbox-Fehler.

Wie aus Berichten vom 10. November 2026 unter Verweis auf das MS-ISAC hervorgeht, könnten die gravierendsten davon beliebigen Code ausführen. Zudem behob Mozilla am 9. November 2026 in Firefox für iOS 160 drei Schwachstellen zur Rechteausweitung, für die es bislang keine Hinweise auf eine aktive Ausnutzung gibt.