Chrome Zero-Day Vulnerability vor dem Patch ausgenutzt

Google zufolge wurde eine aktiv ausgenutzte Chrome-Zero-Day-Schwachstelle (Chrome zero-day vulnerability) bereits in Angriffen genutzt, bevor ein Fix dafür auslieferte. Die als CVE-2026-85046 (CVSS 8,8) geführte Schwachstelle steckt in V8, Chromes JavaScript- und WebAssembly-Engine, und erlaubt es einer präparierten Webseite, von Angreifern kontrollierten Code innerhalb der Browser-Sandbox auszuführen. Sicherheitsberichte führen ihn als den sechsten Chrome-Zero-Day, den Google 2026 gepatcht hat, und die CISA nahm ihn innerhalb eines Tages nach dem Fix in ihren Known-Exploited-Vulnerabilities-Katalog auf.

Was ist passiert

Diese Chrome zero-day vulnerability, CVE-2026-85046, ist eine Type-Confusion-Schwachstelle in V8. Sicherheitsforscher, die den Fix analysiert haben, beschreiben den zugrunde liegenden Fehler als ein Compiler-Problem, bei dem ein Array, das eine bestimmte interne Elementdatenstruktur (PACKED_ELEMENTS) hält, fälschlicherweise die Map für eine andere (PACKED_SMI_ELEMENTS) erhält; der öffentliche NVD-Eintrag bestätigt die Type-Confusion-Klassifizierung, ohne diesen internen Mechanismus im Detail zu benennen. Ein Angreifer, der diese Fehlzuordnung kontrolliert, erlangt beliebigen Lese-/Schreibzugriff auf den JavaScript-Heap, was Forschern zufolge zu Codeausführung innerhalb von Chromes Sandbox eskaliert werden kann — ausgelöst allein dadurch, dass ein Opfer eine bösartige oder kompromittierte Webseite lädt, ohne Download oder Datei. Der Sicherheitsforscher Salvatore Gulizia („Serotav“) meldete den Fehler Google am 4. August 2026. Google lieferte den Fix am 3. September 2026 in Chrome 152.0.7977.82/.83 für Windows und macOS sowie 152.0.7977.82 für Linux aus und bestätigte zum Zeitpunkt der Veröffentlichung, dass bereits ein Exploit in freier Wildbahn existierte — der Zeitraum, in dem die Systeme gefährdet waren, liegt damit vor der öffentlichen Offenlegung.

Die CISA nahm CVE-2026-85046 am 4. September 2026 in ihren Known-Exploited-Vulnerabilities-Katalog auf, mit einer Behebungsfrist für US-Bundesbehörden bis zum 18. September. Sicherheitsberichte zählen ihn als den sechsten Chrome-Zero-Day, der 2026 gepatcht wurde, nach CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281 und CVE-2026-11645 — im Schnitt etwa ein ausgenutzter V8-/Sandbox-Escape-Fehler alle ein bis zwei Monate in diesem Jahr. Andere Chromium-basierte Browser, darunter Microsoft Edge, Opera und Brave, können ebenfalls betroffen sein, sofern sie den verwundbaren V8-Code enthalten; Organisationen sollten den jeweiligen Herstellerhinweis und die gepatchte Version separat prüfen, statt eine pauschale Abdeckung anzunehmen.

Warum das wichtig ist

Die meisten Schwachstellen, über die DIESEC in diesem Jahr berichtet, betreffen Server, Appliances oder Edge-Geräte — Infrastruktur, die IT-Teams bereits nach einem festen Zeitplan verfolgen und patchen. Ein Chrome-Zero-Day ist anders: Er erreicht jeden Mitarbeiter-Endpunkt, der den Browser nutzt, verwaltet oder nicht, und benötigt vom Opfer nichts weiter als das Öffnen einer Webseite. Da die Ausnutzung begann, bevor der Patch existierte, können Organisationen nicht davon ausgehen, dass schnelles Patchen automatisch Sicherheit bedeutet — jedes Gerät, das vor dem 3. September auf einem ungepatchten Chrome-Build verblieb, ist ein Kandidat für eine rückblickende Prüfung der Browser-Aktivitätslogs. Für deutsche Mittelstandsunternehmen sind nicht verwaltete oder BYOD-Chrome-Installationen — die Geräte, die am wenigsten zentral zum Update gezwungen werden können — die Gruppe mit dem höchsten Risiko, und die Browser-Patch-Compliance wird selten mit derselben Disziplin verfolgt wie das Patchen von Servern oder Firewalls.

Was Sie jetzt tun sollten

1. Erzwingen oder bestätigen Sie noch heute das Chrome-Update auf verwalteten Endpunkten; prüfen Sie pro Gerät über chrome://settings/help, was eine Update-Prüfung auslöst und die installierte Version anzeigt. Verlangen Sie bei nicht verwalteten oder BYOD-Geräten die Mindestversion, bevor diese auf Unternehmensressourcen zugreifen dürfen — auf privater Hardware lässt sich ein Update in der Regel nicht erzwingen.
2. Prüfen Sie: Bestätigen Sie, dass verwaltete Endpunkte auf Chrome 152.0.7977.82/.83 (Windows und macOS) bzw. 152.0.7977.82 (Linux) oder neuer laufen, und identifizieren Sie separat nicht verwaltete oder BYOD-Geräte, bei denen Auto-Update nicht zentral erzwungen werden kann.
3. Mitigieren Sie: Beschränken oder überwachen Sie bei Geräten, die nicht sofort aktualisiert werden können, das Browsen auf bekannte, vertrauenswürdige Ziele, bis der Patch nachweislich installiert ist.
4. Überwachen Sie: Prüfen Sie Browser- und Endpoint-Logs auf verdächtige Aktivitäten bei Geräten, die auf einem Chrome-Build vor dem 3. September verblieben, da die Ausnutzung vor dem öffentlichen Fix begann.

Wenn Ihre Organisation die Browser-Versions-Compliance derzeit nicht mit derselben Sorgfalt verfolgt wie Server- oder Firewall-Patch-Stände, behandeln Sie das als die eigentliche Lücke, die dieser Vorfall aufzeigt.

DIESEC Einschätzung

Sechs ausgenutzte Chrome-Zero-Days in einem einzigen Jahr sind an diesem Punkt keine Anomalie mehr — sie sind die Grundlinie für den Browser, den Ihre gesamte Belegschaft täglich nutzt. Die eigentliche Governance-Frage lautet nicht „Haben wir diesen einen gepatcht“, sondern ob Browser-Patch-Compliance mit derselben Konsequenz verfolgt und durchgesetzt wird wie das Server- und Appliance-Patching, das die meisten Organisationen bereits ernst nehmen.

Nicht sicher, ob Ihre Organisation Transparenz über die Browser-Patch-Compliance über verwaltete und nicht verwaltete Geräte hinweg hat? Kontaktieren Sie DIESEC für eine schnelle Endpoint-Expositions-Analyse.

Quellen: NVD | Google Chrome Releases | The Hacker News | SecurityWeek
Veröffentlicht: 2026-09-09 | Kategorie: Tägliche News | ~4 Min. Lesezeit