Google Chrome: Lücke wird ausgenutzt, Auto-Update reicht nicht

Der Willkommensbildschirm von Google Chrome auf einem Smartphone.

Google hat in Chrome 153 insgesamt 230 Sicherheitslücken geschlossen. Für eine davon existiert bereits ein Exploit, es ist der siebte aktiv ausgenutzte Chrome-Fehler in diesem Jahr. Der Haken liegt im Verteilweg, denn das Update erreicht die Rechner gestaffelt und wird erst nach einem Neustart des Browsers wirksam.

Steffen Zahn, Veröffentlicht am 10.09.2026 🇺🇸

Google hat Chrome 153 am Dienstag in den Stable-Kanal befördert. Die Version schließt 230 Sicherheitslücken, fünf davon stuft Google als kritisch ein. Bei einer sechsten steht im Release-Eintrag ein Satz, der schwerer wiegt als jede Einstufung. "Google is aware that an exploit for CVE-2026-87491 exists in the wild." Für diese Lücke kursiert also bereits ein funktionierendes Angriffswerkzeug.

CVE-2026-87491 ist ein Out-of-bounds-Write in V8, der JavaScript- und WebAssembly-Engine des Browsers. Bei einem Out-of-bounds-Write schreibt ein Programm über den ihm zugewiesenen Speicherbereich hinaus und überschreibt dabei fremde Daten. Laut Beschreibung genügt eine präparierte HTML-Seite, damit ein Angreifer aus der Ferne Code innerhalb der Sandbox ausführt. Gemeldet hat den Fehler Jihyeon Jeong vom Compsec Lab der Seoul National University am 6. August, die Prämie dafür lag bei 2.500 US-Dollar. Google selbst führt die Lücke nur als Medium.

Der siebte ausgenutzte Chrome-Fehler in diesem Jahr

Es ist der siebte aktiv ausgenutzte Zero-Day, den Google 2026 in Chrome geschlossen hat. Der sechste liegt gerade einmal fünf Tage zurück, es war CVE-2026-85046, eine Typverwechslung, ebenfalls in V8, ebenfalls mit Exploit im Umlauf. Zwei ausgenutzte Lücken in derselben Komponente binnen einer Woche.

Die fünf kritischen Einträge sitzen woanders. Vier betreffen WebGL, die Schnittstelle für 3D-Grafik im Browser, und tragen die Nummern CVE-2026-87464, CVE-2026-87488, CVE-2026-87438 und CVE-2026-87527. Der fünfte, CVE-2026-87628, steckt in der Cast-Komponente, über die Chrome Inhalte an Fernseher überträgt. Auffällig ist die Herkunft mancher Meldungen weiter unten in der Liste. Google führt dort Einträge auf, die von automatisierten Suchsystemen wie Big Sleep stammen, und einen, den OpenAI Codex Security beigesteuert hat.

Warum das Update dich noch nicht erreicht hat

Google schreibt im selben Eintrag, die Verteilung erfolge "over the coming days/weeks". Chrome bekommt seine Updates gestaffelt, nicht alle Rechner am selben Tag. Der zweite Punkt lässt in der Praxis noch mehr Geräte offen. Chrome lädt ein Update im Hintergrund herunter, aktiviert es aber erst, wenn du den Browser komplett schließt und neu öffnest. In Googles eigener Dokumentation für Administratoren steht das ausdrücklich, dort liegt die Standardfrist für die Neustart-Aufforderung bei einer Woche.

Wer seinen Browser tagelang durchlaufen lässt, mit Dutzenden offener Tabs und ohne ihn je zu schließen, arbeitet also weiter mit der alten Programmdatei. Die Meldung "Chrome ist auf dem neuesten Stand" sagt in diesem Zustand wenig über den Code aus, der gerade tatsächlich läuft.

Edge, Brave, Opera und Vivaldi hängen mit drin

V8 gehört zu Chromium, dem Unterbau fast aller großen Browser außer Firefox und Safari. Microsoft Edge, Brave, Opera und Vivaldi übernehmen den Fix mit eigenen Versionsnummern und eigenem Zeitplan, weshalb du dort getrennt nachsehen musst. Wie zäh ein Patch bei einem Hersteller-Browser laufen kann, haben wir uns am Samsung Internet Browser angesehen.

Chrome 153 startet den Zwei-Wochen-Takt

Mit dieser Version stellt Google den Veröffentlichungsrhythmus um. Beta und Stable erscheinen ab sofort alle zwei Wochen statt alle vier, auf Desktop, Android und iOS gleichermaßen. Die nächste Version mit der Nummer 154 soll am 22. September folgen. Für dich bedeutet das doppelt so viele Neustart-Aufforderungen, dafür kürzere Wege für Sicherheitsfixes.

So prüfst du deine Version

Öffne die Adresse chrome://settings/help, dort sucht der Browser sofort nach Updates und lädt sie herunter. Erscheint danach der Knopf "Neu starten", ist genau dieser Neustart der entscheidende Schritt, alles davor war nur der Download. Unter der Versionsnummer muss anschließend 153.0.8010.36 oder .37 stehen, unter Linux 153.0.8010.36.

Zeigt die Zeile weiterhin eine 152er-Nummer und tut sich nichts, hat dich die gestaffelte Verteilung schlicht noch nicht erreicht. Dann bleibt nur, es über den Tag verteilt erneut zu versuchen. Angriffe über präparierte Dateien treffen im Übrigen längst nicht nur Desktop-Browser. Wie wenig es braucht, um damit fremden Code zu starten, zeigte gerade erst der Bild-Decoder in Samsungs Galaxy-Handys. Dass auch die neuen KI-Browser an dieser Front angreifbar sind, haben wir im August beschrieben.