Google hat am 4. September 2026 ein außerplanmäßiges Sicherheitsupdate für seinen Chrome-Browser veröffentlicht und damit eine bereits aktiv ausgenutzte Zero-Day-Schwachstelle geschlossen. Die als CVE-2026-85046 geführte Lücke steckt in der JavaScript-Engine V8 und ist der sechste ausgenutzte Chrome-Zero-Day des laufenden Jahres.
Type Confusion in V8 mit CVSS 8.8
Laut dem Google-Chrome-Releases-Blog handelt es sich um eine Type-Confusion-Schwachstelle: Die Engine interpretiert einen Objekttyp fälschlich als einen anderen, wodurch der Speicher manipuliert werden kann. Über eine präparierte HTML-Seite lässt sich so beliebiger Code innerhalb der Browser-Sandbox ausführen. Der Fehler ist mit einem CVSS-Wert von 8.8 als hoch eingestuft. Technisch geht die Lücke auf einen Compiler-Bug zurück, der eine fehlerhafte Zuordnung von Array-Elementen auf dem JavaScript-Heap ermöglicht.
Exploit bereits im Umlauf
Google bestätigt, dass ein Exploit für CVE-2026-85046 in freier Wildbahn existiert. Nähere Angaben zu den Angriffen macht der Konzern nicht, um Nutzern und abhängigen Projekten Zeit zum Einspielen des Patches zu geben. Gemeldet wurde die Schwachstelle am 4. August 2026 vom Sicherheitsforscher Salvatore Gulizia (alias Serotav), der dafür eine Prämie von 1.000 US-Dollar erhielt.
Der Fix ist im Stable-Channel enthalten. Betroffene sollten umgehend aktualisieren:
- Windows und macOS: Chrome 152.0.7977.82/.83
- Linux: Chrome 152.0.7977.82
Da Chromium-basierte Browser wie Microsoft Edge, Brave, Vivaldi und Opera dieselbe Engine nutzen, dürften auch deren Anbieter zeitnah Updates ausrollen. Chrome aktualisiert sich in der Regel automatisch; ein Blick unter „Über Google Chrome“ und ein anschließender Neustart erzwingen die Installation.
Quellen: Google Chrome Releases · Help Net Security · BleepingComputer · CISA KEV
