CERT-In warnt Chrome-Nutzer: Google behebt 37 Sicherheitslücken, darunter sieben kritische

Desktop-Nutzer sollen Chrome-Sicherheitsupdates installieren

Indiens Computer Emergency Response Team CERT-In warnte am 14. Oktober 2026 vor Schwachstellen in Google Chrome, über die Angreifer schädlichen Code ausführen, an sensible Informationen gelangen oder betroffene Computer stören könnten. Google veröffentlichte bereits einen Tag zuvor Korrekturen für 37 Sicherheitslücken, darunter sieben als kritisch eingestufte.

Betroffen sind Chrome-Versionen vor 155.0.8059.79 unter Linux und vor 155.0.8059.79/.80 unter Windows und macOS. Nutzer sollten in Chrome die Seite „Über Google Chrome“ öffnen, nach einem Update suchen und den Browser auf Aufforderung neu starten, um die Installation abzuschließen.

In Googles Ankündigung der Desktop-Version vom 13. Oktober sind sieben kritische, 29 als hoch und eine als mittel eingestufte Schwachstelle aufgeführt. Die Sicherheitslücken betreffen Grafik, Dokumente, Netzwerke, Passwörter und die Software, die Anweisungen von Websites ausführt.

Google zufolge kann die Verteilung Tage oder Wochen dauern. Wer sofort nach einem Update sucht, muss daher möglicherweise später erneut prüfen, ob es inzwischen verfügbar ist.

Welche Versionen müssen aktualisiert werden?

Die Warnung von CERT-In betrifft die Desktop-Version von Chrome unter Windows, macOS und Linux. Auch das Computer Emergency Response Team Coordination Centre in Hongkong (HKCERT) führt dieselben betroffenen Versionen auf und empfiehlt, die Korrekturen des Herstellers zu installieren.

• Linux: Chrome 155.0.8059.79 oder höher installieren.
• Windows: Chrome 155.0.8059.79/.80 oder höher installieren.
• macOS: Chrome 155.0.8059.79/.80 oder höher installieren.

Die Versionsnummer ist wichtig, weil die Korrekturen über das Browser-Update bereitgestellt werden. Ein Computer kann Websites weiterhin problemlos öffnen, obwohl darauf eine Version mit diesen Schwachstellen läuft. In Privathaushalten sollte daher zunächst jeder Computer überprüft werden. Unternehmen müssen feststellen, welche Geräte das Update erhalten haben und nach dem erforderlichen Neustart damit laufen.

Die Chrome-Version wird unter „Hilfe“ und dann „Über Google Chrome“ angezeigt. Die Seite lässt sich über das Dreipunktmenü oben rechts im Browser öffnen. Dort wird auch geprüft, ob ein Update verfügbar ist.

Sieben kritische Schwachstellen betreffen zentrale Browserfunktionen

Google stuft CVE-2026-110152 als kritischen Pufferüberlauf in ANGLE ein, einer von Chrome genutzten Grafikkomponente. Ein Puffer ist ein Speicherbereich, der zum Ablegen von Daten reserviert ist. Bei einem Überlauf schreibt Software über die Grenzen dieses Bereichs hinaus. Dadurch können benachbarte Daten beschädigt werden, oder ein Angreifer kann möglicherweise beeinflussen, wie ein Programm ausgeführt wird.

Laut Googles Mitteilung meldete Zhenpeng (Leo) Lin von depthfirst die ANGLE-Schwachstelle am 30. September. Mögliche Folgen sind Abstürze und die Ausführung schädlichen Codes.

Bei den sechs weiteren kritischen Schwachstellen handelt es sich jeweils um Fehler durch die Nutzung bereits freigegebenen Speichers (Use-after-free). Sie betreffen die Komponenten Browser, PDF, Network, Core, SVG und Media. Diese übernehmen Aufgaben von der Verarbeitung von Dokumenten und Grafiken bis zur Kommunikation über Netzwerke.

Ein Use-after-free-Fehler tritt auf, wenn Software einen Speicherbereich weiterverwendet, obwohl dieser bereits freigegeben wurde. Das ist, als würde ein Programm einen alten Speicherplatz so behandeln, als gehörten die dort gespeicherten Inhalte noch dazu, obwohl der Platz inzwischen anderweitig belegt sein könnte. Ein Angreifer kann möglicherweise die neuen Inhalte beeinflussen und das Programm stören oder umleiten.

Google nennt für die sechs kritischen Schwachstellen die Kennungen CVE-2026-110149, CVE-2026-110136, CVE-2026-110161, CVE-2026-110165, CVE-2026-110148 und CVE-2026-110151. Zusammen mit der ANGLE-Schwachstelle sind damit sieben der 37 behobenen Sicherheitslücken betroffen, also etwa jede fünfte.

Was kann auf einem betroffenen Computer passieren?

CERT-In warnt davor, dass Angreifer beliebigen Code ausführen, sensible Informationen offenlegen oder einen Denial-of-Service-Angriff auslösen könnten. Konkret bedeutet das, dass Angreifer eigene Anweisungen ausführen, private Daten offenlegen oder Software außer Betrieb setzen könnten.

Das ebenfalls auf den 14. Oktober datierte Chrome-Sicherheitsbulletin von HKCERT nennt zwei weitere mögliche Folgen: eine Ausweitung von Berechtigungen und die Umgehung von Sicherheitsbeschränkungen. Im ersten Fall werden Berechtigungen erlangt, die normalerweise nicht gewährt würden; im zweiten wird eine Schutzregel umgangen.

HKCERT stuft das Bulletin als Risiko mittlerer Höhe ein, während Google sieben einzelne Schwachstellen als kritisch bewertet. Die Einschätzungen beziehen sich auf unterschiedliche Ebenen: HKCERT bewertet das Bulletin als Ganzes, Google stuft jede Schwachstelle einzeln ein. HKCERT empfiehlt, die Korrekturen zu installieren.

Im HKCERT-Bulletin sind die Kennungen CVE-2026-110136 bis CVE-2026-110172 aufgeführt, eine fortlaufende Reihe mit allen 37 Einträgen. CVE-Nummern dienen als Referenz und helfen Softwareherstellern und Administratoren, dieselbe Sicherheitslücke in Warnmeldungen und Updates nachzuverfolgen.

Auch Passwörter, JavaScript und Dokumente sind betroffen

Zu Googles 29 Korrekturen für als hoch eingestufte Schwachstellen gehören Probleme in V8, der JavaScript-Engine von Chrome. JavaScript enthält Anweisungen, die viele Websites interaktiv machen. Eine Schwachstelle in der Engine kann auftreten, während der Browser diese Anweisungen verarbeitet.

Zu den V8-Einträgen gehören eine Schwachstelle durch Typverwechslung, CVE-2026-110140, und zwei Use-after-free-Schwachstellen, CVE-2026-110168 und CVE-2026-110169. Bei einer Typverwechslung behandelt Software Daten so, als gehörten sie einem anderen Datentyp an. Das kann zu unsicheren Speicherzugriffen führen.

Für die Komponente Passwords von Chrome sind drei Schwachstellen mit hohem Schweregrad aufgeführt: ein Informationsleck und zwei Use-after-free-Fehler. Weitere Korrekturen betreffen Extensions, WebRTC, DOM, Canvas und PDFium. Diese Komponenten unterstützen Erweiterungen, Browserkommunikation, die Struktur von Webseiten, Zeichenfunktionen und die Verarbeitung von PDF-Dateien.

Google führt außerdem Berechtigungsprobleme in ReadingMode, Installer, Updater und Mojo auf. Bei einem Autorisierungsfehler wird beispielsweise nicht korrekt geprüft, ob eine Aktion zulässig ist. Bei der einzigen als mittel eingestuften Schwachstelle handelt es sich um einen Use-after-free-Fehler in FileSystem mit der Kennung CVE-2026-110142.

Die Breite der Liste zeigt, warum das Update über einzelne Browseraktivitäten hinaus wichtig ist. Chrome verarbeitet Texte, Skripte, Grafiken, Dokumente und Netzwerkdaten. Diese Version behebt Schwachstellen in mehreren dieser Verarbeitungsbereiche.

Wer hat die Schwachstellen gemeldet?

Laut den Angaben von Google meldete Xinyang Ge von Anthropic die schwerwiegende V8-Schwachstelle CVE-2026-110169 am 28. September mit Unterstützung von Claude. In der Mitteilung werden der Forscher, die Organisation und die geleistete Unterstützung genannt, die Rolle von Claude jedoch nicht näher beschrieben.

Google nennt Xinyang Ge auch als Entdecker mehrerer weiterer Schwachstellen, darunter kritische Lücken in PDF, SVG und Media. Die kritischen Fehler in Browser, Network und Core wurden von Google selbst gemeldet. Zu den weiteren genannten Mitwirkenden gehören Hoyong Jin, M. Fauzan Wijaya, Aria Akhavan, Souma Ohsawa und Andrew Boni.

Die Meldedaten zeigen, dass in diesem Update Erkenntnisse aus mehreren Monaten zusammengeführt wurden. Googles Liste enthält eine am 25. März gemeldete Schwachstelle in Bindings sowie neuere Schwachstellen in Media, die am 6. Oktober gemeldet wurden. Sie werden gemeinsam mit dieser stabilen Version behoben.

Warum einige technische Details zunächst eingeschränkt zugänglich sind

Google zufolge kann der Zugriff auf manche Fehlerberichte eingeschränkt bleiben, bis die Nutzer das Update erhalten haben. Srinivas Sista, der die Mitteilung zur Chrome-Version für Google veröffentlichte, erläuterte die Offenlegungspraxis des Unternehmens:

Der Zugriff auf Fehlerdetails und Links kann eingeschränkt bleiben, bis die Mehrheit der Nutzer ein Update mit einer Korrektur erhalten hat.

Google zufolge können Einschränkungen auch dann bestehen bleiben, wenn eine Schwachstelle eine Bibliothek betrifft, die von anderen Projekten genutzt wird und dort noch nicht repariert wurde. Eine Bibliothek ist eine wiederverwendbare Softwarekomponente. Daher kann derselbe zugrunde liegende Fehler Maßnahmen mehrerer Entwicklerteams erfordern.

In der Mitteilung zur Version nennt Google die betroffenen Komponenten und Fehlertypen, beschränkt aber den Zugriff auf einige detailliertere technische Berichte. Für Nutzer ist vor allem die Versionsnummer relevant, die die Korrekturen enthält. Administratoren können die Kennungen verwenden, um das Update mit der Erfassung von Schwachstellen und Softwareinventaren abzugleichen.

Von den Sicherheitsmeldungen zum öffentlichen Warnhinweis

Die wichtigsten Daten zeigen, wie einzelne Erkenntnisse in ein Browser-Update und schließlich in öffentliche Sicherheitswarnungen einflossen:

• 28. September 2026: Xinyang Ge von Anthropic meldete mit Unterstützung von Claude die V8-Schwachstelle CVE-2026-110169.
• 30. September: Zhenpeng (Leo) Lin von depthfirst meldete den kritischen ANGLE-Pufferüberlauf.
• 1. bis 6. Oktober: Google und weitere Forscher meldeten mehrere zusätzliche kritische und schwerwiegende Schwachstellen, die im Update enthalten sind.
• 13. Oktober: Google kündigte das stabile Chrome-Update mit 37 Sicherheitskorrekturen an.
• 14. Oktober: CERT-In veröffentlichte seine Warnung, HKCERT sein Bulletin zu denselben 37 Kennungen.

Mit dem Veröffentlichungsdatum von Google beginnt die Verteilung. Da der Rollout nach Angaben des Unternehmens Tage oder Wochen dauern kann, wird das Update auch nach der Ankündigung weiter bereitgestellt. Es lohnt sich daher, erneut nachzusehen, wenn zunächst kein Update verfügbar ist.

So schließen Sie das Update ab

Chrome-Nutzer können die integrierte Update-Funktion des Browsers aufrufen. Die Schritte sind einfach:

• Chrome öffnen und oben rechts das Dreipunktmenü auswählen.
• „Hilfe“ und dann „Über Google Chrome“ auswählen.
• Chrome nach verfügbaren Updates suchen und diese herunterladen lassen.
• Alle noch nicht gespeicherten Arbeiten sichern und auf Aufforderung „Neu starten“ auswählen.
• Auf der Seite „Über Google Chrome“ prüfen, welche Version installiert ist.

Der Neustart ist wichtig, denn das Herunterladen des Updates und die Nutzung des aktualisierten Browsers sind zwei getrennte Schritte. Eine noch geöffnete, ältere Browsersitzung kann den Abschluss der Installation verzögern.

Unternehmen sollten die installierten Versionen auf allen Desktop-Computern überprüfen, auch auf Geräten, deren Nutzer den Browser nur selten schließen. Ziel ist es, sicherzustellen, dass auf den Geräten die Version mit den Korrekturen läuft und ein erforderlicher Neustart abgeschlossen wurde.

Nutzer, denen das Update noch nicht angezeigt wird, sollten während des Rollouts erneut danach suchen. Google zufolge kann die Verteilung Tage oder Wochen dauern. Es ist daher nicht zu erwarten, dass jeder Computer das Update bereits am Tag der Ankündigung erhält.

Auch Edge-Nutzer sollten auf Korrekturen achten

Microsoft Edge basiert auf Chromium, der Browserplattform, auf der auch Chrome aufbaut. Einige Schwachstellen in dieser gemeinsamen Software können daher auch Korrekturen für Edge erforderlich machen.

Microsoft bestätigte die neuesten Chromium-Sicherheitskorrekturen in einer Mitteilung vom 13. Oktober und erklärte, an einem Update zu arbeiten. Zum Zeitpunkt der Warnung war das entsprechende Sicherheitsupdate für den stabilen Kanal noch nicht veröffentlicht, und Microsoft hatte keinen Veröffentlichungstermin genannt.

Edge-Nutzer sollten nach dem Microsoft-Update suchen, sobald es verfügbar ist. Wer beide Browser nutzt, sollte jeden einzeln überprüfen: Chrome erhält sein Sicherheitsupdate von Google, Edge von Microsoft.

Die wichtigsten Punkte

• CERT-In warnte Desktop-Nutzer von Chrome am 14. Oktober 2026 vor Schwachstellen, durch die Daten offengelegt, Software gestört oder schädlicher Code ausgeführt werden könnte.
• Googles Update vom 13. Oktober behebt 37 Schwachstellen: sieben kritische, 29 schwerwiegende und eine mittelschwere.
• Die korrigierten Versionen sind 155.0.8059.79 für Linux und 155.0.8059.79/.80 für Windows und macOS sowie jeweils neuere Versionen.
• Nutzer sollten unter „Hilfe“ und dann „Über Google Chrome“ nach dem Update suchen, es installieren und den Browser auf Aufforderung neu starten.
• Google zufolge kann die Verteilung Tage oder Wochen dauern. Microsoft hatte noch keinen Termin für das entsprechende stabile Edge-Update angekündigt.