Chrome 153 schließt 7. ausgenutzten Zero-Day: CVE-2026-87491

Google hat Chrome 153 am 8. September 2026 in den Stable-Kanal ausgeliefert und in derselben Release-Mitteilung erklärt, man sei sich bewusst, "dass ein Exploit für CVE-2026-87491 in freier Wildbahn existiert". Bei der Lücke handelt es sich um einen Out-of-Bounds-Write in V8, der JavaScript- und WebAssembly-Engine im Kern von Chrome. Help Net Security und SecurityWeek, die das Update am 9. September aufgriffen, beschreiben sie als erreichbar über nichts weiter als eine präparierte HTML-Seite — damit kann ein Angreifer Code innerhalb der Browser-Sandbox ausführen, ohne Download, ohne Installer, ohne zweiten Schritt.

Es ist der siebte aktiv ausgenutzte Chrome-Zero-Day, den Google 2026 gepatcht hat, und der zweite in weniger als fünf Tagen. Help Net Security datiert den vorherigen Fall, CVE-2026-85046, auf den 4. September und führt die fünf davor als CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281 und CVE-2026-11645 auf. Laut SecurityWeek steckt der Fix in Chrome 153.0.8010.36 und .37 für Windows und macOS sowie 153.0.8010.36 für Linux; dasselbe Release behebt insgesamt 230 Sicherheitsprobleme. Fünf davon gelten als kritisch — vier Use-after-free-, Out-of-Bounds-Write- und Pufferüberlauf-Fehler in WebGL sowie ein Use-after-free in Cast — 41 weitere als hoch.

Wer dies in Chrome liest, sollte vor allem ein Detail kennen, das die meisten überspringen: Das Update lädt im Hintergrund, wird aber erst nach einem vollständigen Neustart des Browsers wirksam. Ein Rechner, der seit einer Woche mit dreißig Tabs offen steht, läuft weiterhin mit der verwundbaren Version. Öffnen Sie chrome://settings/help, warten Sie, bis dort 153.0.8010.36 oder höher steht, und klicken Sie auf "Neu starten". Google stuft CVE-2026-87491 auf der Chromium-eigenen Skala als mittelschwer ein und hat keinen CVSS-Wert veröffentlicht — doch die Einstufung zählt hier weniger als der Ausnutzungsstatus. Eine mittelschwere Lücke, die Angreifer bereits nutzen, ist dringender als eine kritische, die niemand waffenfähig gemacht hat.

Unbekannt bleibt das Wesentliche. Google hält technische Details zurück, bis die Mehrheit der Nutzerinnen und Nutzer aktualisiert hat — gängige Praxis, die zugleich verbirgt, wer angegriffen wird und auf welchem Weg. Gemeldet wurde die Lücke laut Help Net Security am 6. August 2026 von Jihyeon Jeong vom Compsec Lab der Seoul National University, die dafür eine Prämie von 2.500 US-Dollar erhielt; SecurityWeek ergänzt, dass in diesem Release rund 23.000 US-Dollar für 35 extern gemeldete Fehler ausgezahlt wurden. Warum zwischen Meldung und Patch ein Monat lag, erklären weder Googles Mitteilung noch die Berichte; ob die Angriffe vor oder nach der Meldung begannen, ist ebenfalls offen. Technische Analysen erscheinen üblicherweise erst Wochen später, wenn der Patch breit verteilt ist.