Google veröffentlichte am 4. September 2026 ein Notfall-Update des stabilen Chrome-Kanals, um CVE-2026-85046 zu schließen, eine Type-Confusion in der JavaScript-Engine V8, für die bereits ein Exploit kursiert. Es ist der sechste Chrome-Zero-Day, der seit Jahresbeginn behoben wurde. Für Web-Teams endet die Warnung nicht beim Browser der Nutzer: Dieselbe Engine steckt in einem großen Teil der Entwicklungswerkzeuge.
Was das Update behebt
Die Schwachstelle ist eine Type-Confusion in V8, der JavaScript- und WebAssembly-Engine, die Chrome und alle Chromium-Browser gemeinsam nutzen. Sie ist mit einem CVSS-Wert von 8,8 bewertet. Konkret kann eine präparierte HTML-Seite den Compiler dazu bringen, ein Array so zu behandeln, als enthielte es Werte eines anderen Typs. Das eröffnet eine Primitive für beliebiges Lesen und Schreiben auf dem JavaScript-Heap und anschließend die Codeausführung innerhalb der Browser-Sandbox.
Google bestätigt die aktive Ausnutzung mit der mittlerweile gewohnten Formulierung: Der Hersteller „hat Kenntnis davon, dass ein Exploit für CVE-2026-85046 in freier Wildbahn existiert.“ Gemeldet wurde die Lücke am 4. August 2026 vom Forscher Salvatore Gulizia, der eine Prämie von 1.000 Dollar erhielt.
Welche Versionen zu installieren sind
Der Fix wird über den stabilen Desktop-Kanal verteilt. Die Mindestversionen unterscheiden sich je nach Plattform leicht.
| Plattform | Behobene Version | Kanal |
|---|---|---|
| Windows | 152.0.7977.82 / .83 | Stable (Desktop) |
| macOS | 152.0.7977.82 / .83 | Stable (Desktop) |
| Linux | 152.0.7977.82 | Stable (Desktop) |
Googles Rollout erstreckt sich über mehrere Tage. In einer Geräteflotte ist es ratsam, nicht auf das automatische Update zu warten, sondern eine Versionsprüfung zu erzwingen.
Eine Type-Confusion in V8 wird zu beliebigem Lesen und Schreiben auf dem Heap – und dann zur Codeausführung in der Sandbox.
Warum das über den Nutzer-Browser hinausgeht
V8 und der Chromium-Kern leben nicht nur in Chrome. Desktop-Anwendungen auf Basis von Electron, Komponenten, die Web-Inhalte über eine eingebettete Webview darstellen, und Chromium-Browser von Drittanbietern — Microsoft Edge, Brave, Opera, Vivaldi — teilen dieselbe Angriffsfläche. Eine Electron-App ist nicht gepatcht, nur weil der Rechner Chrome aktualisiert hat: Sie bringt ihr eigenes Chromium-Build mit und muss neu gebaut und erneut ausgeliefert werden.
Auch in der Build-Kette ist die Exposition real. CI-Runner, die ein headless Chromium für End-to-End-Tests, Screenshots oder PDF-Erzeugung steuern, führen nicht vertrauenswürdigen Code aus, sobald sie eine externe Seite rendern. Das Aktualisieren des Basis-Images und der Puppeteer- oder Playwright-Binärdateien gehört zum selben Vorgang wie das Update des Arbeitsplatzes. Eine Härtungs-Grundlage auf Serverseite schützt vor diesem Vektor nicht: Die Rendering-Engine selbst ist der Schwachpunkt.
Achtung. Die Chrome-Version auf den Arbeitsplätzen zu prüfen, genügt nicht. Man muss jede installierte Electron-App, jeden Dienst, der ein headless Chromium in der CI startet, und jeden Chromium-Browser von Drittanbietern erfassen und dann das jeweilige Hersteller-Update einspielen. Eine vergessene Komponente bleibt verwundbar, selbst wenn der Hauptbrowser aktuell ist.
Update prüfen und erzwingen
Auf einem Arbeitsplatz löst die Seite chrome://settings/help die Prüfung und den Download aus. Auf der Kommandozeile lässt sich die Versionsnummer direkt auslesen, was das Auditieren einer Flotte oder einer Kommandozeilen-Werkzeugumgebung erleichtert.
# Linux : version installée du binaire
google-chrome --version
# -> Google Chrome 152.0.7977.82
# macOS : idem via le bundle
"/Applications/Google Chrome.app/Contents/MacOS/Google Chrome" --version
# CI : version du Chromium piloté par Playwright
npx playwright --version
npx playwright install chromium # récupère le build corrigéIn einer verwalteten Umgebung wird das Update per Richtlinie erzwungen: Der Schlüssel TargetVersionPrefix in den Chrome-Policies (oder das MDM-Äquivalent) setzt eine Mindestversion durch und schließt das Zeitfenster der Exposition, statt jeden Rechner in seinem eigenen Tempo aktualisieren zu lassen.
Das Wichtigste in Kürze
CVE-2026-85046 ist eine aktiv ausgenutzte V8-Lücke, behoben durch Chrome 152.0.7977.82 und höher. Das Browser-Update hat Priorität, doch das Inventar endet dort nicht: Electron, Webviews, Chromium-Browser von Drittanbietern und headless Chromium in der CI nutzen alle die betroffene Engine und werden getrennt gepatcht. Eine erzwungene Mindestversion über die gesamte Flotte bleibt der zuverlässigste Weg, die Lücke zu schließen.
In meinen eigenen CI-Pipelines zahlt sich die Angewohnheit aus, alles zu identifizieren, was ein Chromium mitbringt, noch bevor ich die Details einer CVE lese: Test-Docker-Images, Playwright-Binärdateien, interne Electron-Apps. Ich fixiere eine Mindestversion per Richtlinie, statt dem automatischen Update zu vertrauen, denn ein Runner, der eine externe Seite rendert, ist ein ebenso lohnendes Ziel wie ein Arbeitsplatz – und meist das letzte, an das man denkt. — Simon Janvier
Weiterführend: Das offizielle Bulletin des stabilen Chrome-Kanals (Chrome Releases) nennt die behobene Version und die vollständige Liste der Sicherheitspatches.
