AKTUELL
Chrome Zero-Day CVE-2026-85046: Google schließt aktiv ausgenutzte Lücke
Der Chrome Zero-Day CVE-2026-85046 wird bereits für Angriffe eingesetzt. Google hat deshalb am 3. September 2026 aktualisierte Chrome-Versionen für Windows, macOS, Linux und Android veröffentlicht. Die US-Sicherheitsbehörde CISA nahm die Schwachstelle einen Tag später in ihren Katalog nachweislich ausgenutzter Lücken auf. Auch für Nutzer in Deutschland ist damit nicht nur ein gewöhnliches Wartungsupdate gemeint: Die neue Version sollte installiert und der Browser anschließend neu gestartet werden.
Chrome Zero-Day CVE-2026-85046 steckt in der V8-Engine
Google stuft CVE-2026-85046 als hoch ein. Die Schwachstelle liegt in V8, der Engine, mit der Chrome JavaScript und WebAssembly verarbeitet. Ursache ist eine sogenannte Typverwechslung. Vereinfacht gesagt behandelt die Software dabei einen Wert oder ein Objekt so, als hätte es einen anderen Datentyp. Dadurch können Speicherzugriffe möglich werden, die im normalen Programmablauf nicht vorgesehen sind.
Nach dem Eintrag im CISA-Katalog kann ein entfernter Angreifer über eine präparierte HTML-Seite eigenen Code innerhalb der Browser-Sandbox ausführen. Diese Einschränkung ist wichtig: Die veröffentlichte Beschreibung belegt nicht automatisch die vollständige Übernahme des gesamten Computers. Eine solche Lücke kann jedoch Teil einer mehrstufigen Angriffskette sein und ist besonders relevant, weil ein funktionierender Exploit bereits außerhalb von Laborbedingungen existiert.
Wie die laufenden Angriffe aussehen, gegen wen sie gerichtet sind und ob weitere Schwachstellen mit CVE-2026-85046 kombiniert werden, hat Google nicht offengelegt. Der Konzern hält technische Fehlerdetails zunächst zurück, bis ein größerer Teil der Nutzer aktualisiert wurde. Für Deutschland gibt es bislang weder eine gesonderte Angriffswarnung noch belastbare öffentliche Zahlen zu Betroffenen. Das ist keine Entwarnung, sondern eine Grenze der derzeit verfügbaren Informationen.
Diese Chrome-Versionen enthalten die Korrektur
Auf Windows und macOS steckt der Fix in Chrome 152.0.7977.82 oder 152.0.7977.83. Für Linux nennt Google 152.0.7977.82. Auf Android wird ebenfalls Chrome 152.0.7977.82 verteilt; laut Google enthält diese Ausgabe dieselben Sicherheitskorrekturen wie die entsprechenden Desktop-Versionen, sofern im Hinweis nichts Abweichendes genannt wird.
Die Verteilung erfolgt gestaffelt über mehrere Tage, auf dem Desktop laut Google möglicherweise über einige Wochen. Wer Chrome lange nicht geschlossen hat, kann das Update zwar bereits heruntergeladen haben, aber noch mit dem alten Programmstand arbeiten. Unter „Hilfe“ und „Über Google Chrome“ prüft der Browser selbst auf neue Versionen. Nach der Installation muss Chrome neu gestartet werden. Normale Fenster und Tabs werden dabei üblicherweise wieder geöffnet, Inkognito-Fenster jedoch nicht. Google beschreibt den Ablauf in seiner offiziellen Update-Anleitung.
In verwalteten Unternehmensumgebungen hängt die Installation teilweise von zentralen Richtlinien ab. Dort sollten Verantwortliche kontrollieren, ob die korrigierte Ausgabe tatsächlich auf den Geräten angekommen ist. Die von CISA gesetzte Frist bis zum 18. September richtet sich an die dort gebundenen US-Bundesbehörden; sie ist keine rechtliche Frist für private Nutzer oder Unternehmen in Deutschland. Der Eintrag liefert dennoch ein starkes technisches Signal, weil er die reale Ausnutzung bestätigt.
Auch andere Chromium-Browser müssen geprüft werden
CISA weist darauf hin, dass die V8-Schwachstelle mehrere Browser auf Chromium-Basis betreffen kann. Dazu können unter anderem Microsoft Edge und Opera gehören. Die Chrome-Versionsnummer lässt sich jedoch nicht auf diese Programme übertragen. Wer einen anderen Chromium-Browser verwendet, sollte deshalb dessen eigene Update-Funktion und die Sicherheitshinweise des jeweiligen Herstellers prüfen, statt lediglich nach Chrome 152.0.7977.82 zu suchen.
Der aktuelle Fall unterscheidet sich damit deutlich vom kürzlich veröffentlichten Firefox-155-Sicherheitsupdate. Mozilla hatte mehrere hoch eingestufte Fehler korrigiert, aber keine aktive Ausnutzung gemeldet. Beim Chrome Zero-Day CVE-2026-85046 ist dieser zusätzliche Risikofaktor nun offiziell bestätigt. Ein Browserwechsel ist daraus nicht automatisch abzuleiten; entscheidend ist, dass die verwendete Anwendung die Korrektur ihres Herstellers erhalten hat und nach dem Update neu gestartet wurde.
Google schließt mit dem Paket insgesamt zwölf Sicherheitslücken. Zehn stuft das Unternehmen als hoch und zwei als mittel ein. Für Nutzer ist dennoch nicht die Zahl der Einträge der wichtigste Punkt, sondern der Status von CVE-2026-85046: Die Ausnutzung ist nicht mehr nur theoretisch, während der Schutz bereits verteilt wird. Wer die Versionsprüfung jetzt anstößt und den Neustart abschließt, beseitigt genau diese bekannte verwundbare Chrome-Version.
Stand der Recherche: 5. September 2026, 12:00 Uhr CEST.
Hauptquellen
- Google Chrome Releases: Stable Channel Update für Desktop
- Google Chrome Releases: Update für Android
- Canadian Centre for Cyber Security: Sicherheitswarnung AV26-883
- CISA: Known Exploited Vulnerabilities Catalog
- Google Chrome-Hilfe: Browser aktualisieren
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
