Kurzer Hinweis für Nutzer des Google Chrome-Browsers. Google hat zum 18. März 2026 eine neue Version 146.0.7680.153/154 des Chrome veröffentlicht, die gleich 26 Schwachstellen im Browser beseitigt. Drei dieser Schwachstellen wurden als kritisch bewertet. Google will die neue Version stufenweise ausrollen.
Google Chrome (Stable) 146.0.7680.153/154
Der betreffende Eintrag findet sich im Google-Blog. Der Stable-Channel wurde per Update für macOS und Windows auf die Version 146.0.7680.153/154 aktualisiert. Für Linux aktualisiert das Update den Browser auf die Version 146.0.7680.153 f. Laut Google wurden folgende Schwachstellen im Chrome geschlossen.
- [TBD][475877320] Critical CVE-2026-4439: Out of bounds memory access in WebGL. Reported by Goodluck on 2026-01-15
- [TBD][485935305] Critical CVE-2026-4440: Out of bounds read and write in WebGL. Reported by c6eed09fc8b174b0f3eebedcceb1e792 on 2026-02-20
- [TBD][489381399] Critical CVE-2026-4441: Use after free in Base. Reported by Google on 2026-03-03
- [TBD][484751092] High CVE-2026-4442: Heap buffer overflow in CSS. Reported by Syn4pse on 2026-02-16
- [TBD][485292589] High CVE-2026-4443: Heap buffer overflow in WebAudio. Reported by c6eed09fc8b174b0f3eebedcceb1e792 on 2026-02-18
- [TBD][486349161] High CVE-2026-4444: Stack buffer overflow in WebRTC. Reported by c6eed09fc8b174b0f3eebedcceb1e792 on 2026-02-21
- [TBD][486421953] High CVE-2026-4445: Use after free in WebRTC. Reported by c6eed09fc8b174b0f3eebedcceb1e792 on 2026-02-22
- [TBD][486421954] High CVE-2026-4446: Use after free in WebRTC. Reported by c6eed09fc8b174b0f3eebedcceb1e792 on 2026-02-22
- [TBD][486657483] High CVE-2026-4447: Inappropriate implementation in V8. Reported by Erge on 2026-02-23
- [TBD][486972661] High CVE-2026-4448: Heap buffer overflow in ANGLE. Reported by M. Fauzan Wijaya (Gh05t666nero) on 2026-02-23
- [TBD][487117772] High CVE-2026-4449: Use after free in Blink. Reported by Syn4pse on 2026-02-24
- [TBD][487746373] High CVE-2026-4450: Out of bounds write in V8. Reported by qymag1c on 2026-02-26
- [TBD][487768779] High CVE-2026-4451: Insufficient validation of untrusted input in Navigation. Reported by c6eed09fc8b174b0f3eebedcceb1e792 on 2026-02-26
- [TBD][487977696] High CVE-2026-4452: Integer overflow in ANGLE. Reported by cinzinga on 2026-02-26
- [TBD][488400770] High CVE-2026-4453: Integer overflow in Dawn. Reported by sweetchip on 2026-02-27
- [TBD][488585488] High CVE-2026-4454: Use after free in Network. Reported by heapracer (@heapracer) on 2026-03-01
- [TBD][488585504] High CVE-2026-4455: Heap buffer overflow in PDFium. Reported by c6eed09fc8b174b0f3eebedcceb1e792 on 2026-03-01
- [TBD][488617440] High CVE-2026-4456: Use after free in Digital Credentials API. Reported by sean wong on 2026-02-28
- [TBD][488803413] High CVE-2026-4457: Type Confusion in V8. Reported by Zhenpeng (Leo) Lin at depthfirst on 2026-03-01
- [TBD][489619753] High CVE-2026-4458: Use after free in Extensions. Reported by Shaheen Fazim on 2026-03-04
- [TBD][490246422] High CVE-2026-4459: Out of bounds read and write in WebAudio. Reported by Jihyeon Jeong (Compsec Lab, Seoul National University / Research Intern) on 2026-03-06
- [TBD][490254124] High CVE-2026-4460: Out of bounds read in Skia. Reported by c6eed09fc8b174b0f3eebedcceb1e792 on 2026-03-06
- [TBD][490558172] High CVE-2026-4461: Inappropriate implementation in V8. Reported by Google on 2026-03-07
- [TBD][491080830] High CVE-2026-4462: Out of bounds read in Blink. Reported by heapracer (@heapracer) on 2026-03-09
- [TBD][491358681] High CVE-2026-4463: Heap buffer overflow in WebRTC. Reported by c6eed09fc8b174b0f3eebedcceb1e792 on 2026-03-10
- [TBD][487208468] Medium CVE-2026-4464: Integer overflow in ANGLE. Reported by heesun on 2026-02-24
Hinzu kommen verschiedene Korrekturen aus internen Audits, Fuzzing und anderen Initiativen. Sowohl der Google Chrome, als auch der Microsoft Edge-Browser, sollten sich, sofern betroffen, automatisch aktualisieren. Man kann auch versuchen, den Browser auch manuell (über das Menü und den Befehl Über Google Chrome) zu aktualisieren. Die aktuelle Build des Chrome-Browsers für Windows lässt sich auch hier herunterladen.
MVP: 2013 – 2016
Google hatte kürzlich angekündigt, dass Chrome nun tatsächlich wöchentlich Sicherheitsupdates bekommt. Das Ergebnis sehen wir hier. Es kommen öfters Updates, und es sind mehr CVEs drin. Wenn jede Woche knapp 30 Lücken geschlossen werden, kann man sich durchaus mal fragen, was für Anfänger dort den Browser – das Tor zur Internet-Welt – entwickeln. Insgesamt zeigt es, dass man Chrome eigentlich nicht mehr verwendenn darf, denn bei dem Häufigkeiten wie Lücken geschlossen werden, muss man sich fragen, was da noch alles kommt.
Und das betrifft dann auch den Edge.
Ohne Update-Automatismen und passendes Updatemonitoring ist das nicht mehr zu stemmen. Davon abgesehen, dass sich die Benutzer auch über zu häufige Browser-Neustarts beschweren werden.
"kann man sich durchaus mal fragen, was für Anfänger dort den Browser .. entwickeln."
100 Pkte – frage ich mich schon lange. Gilt gleichfalls für Brave (s.Versionstabelle) und bei Ubuntu wird's auch immer schlimmer, nein, unerträglich. Die Wischbrettkinder können's einfach nicht.
Das kann man so oder so sehen. Nur weil ein Entwickler transparent alle Lücken kommuniziert und zeitnah schließt, bedeutet das ja nicht, dass andere bei denen weniger kommuniziert wird nicht auch 1.000 Sicherheitslücken vorhanden sind, von denen man nur nichts weiß…
und die ggf. nicht einfach heimlich geschlossen werden, sondern gar nicht.
Finde ich auch – vor allem bei einem Web Browser, lieber zu viele Updates als zu wenige.
Und im Enterprise Umfeld benutzt man LTS Versionen oder muss halt im Early Access/Canary vorher testen.
Wo gibts denn LTS-Versionen von Chrome und Edge?
"Ohne Update-Automatismen und passendes Updatemonitoring ist das nicht mehr zu stemmen."
Beim Edge geht das wenigstens per WSUS.
Das nimmt langsam echt überhand. Ich Frage mich ob es beim Firefox genauso schlimm aussieht.
klar doch siehst du daran das die ne neue major bringen und manchmal nicht mal 24h später xxx.xx.01; xxx.xx. 02…. das bedeutet nur das die keine QS haben, nicht das sie gut sind.
Gute Programmierer sind heute eben Mangelware… und je mehr drin rumpfuschen…
Produkt reift beim Kunden, aber ich meine jetzt im Bezug auf Sicherheitslücken, da hört man von Firefox jetzt deutlich seltener als von Chrome.
Bei Firefox ist nur ein "Patchday" pro Monat geplant, manchmal schicken sie zwar noch was hinterher, um Bugs zu fixen, das wars aber.
Weniger Sicherheitslücken hat Firefox deswegen aber nicht, auch mit FF 148 wurden knapp 30 CVE geschlossen.
Was mir momentan an FF aufstößt, ist dass sie sich mit den ADMX-Files für zentrales GPO-Management so lange Zeit lassen, die aktuellen ADMX für das zentrale GPO-Management der mit FF 148 eingeführten KI-Funktionen kam erst jetzt am Donnerstag, 1 Monat nachdem die Funktionen da waren. Das heißt, unsere User konnten sich 1 Monat an etwas gewöhnen, was sie garnicht nutzen sollen/dürfen, da wir die Funktion erst jetzt zentral abwürgen können.
Für IT-Admins in Unternehmensumgebungen, die Google Chrome über eine UEM-Lösung bzw. automatische Softwareverteilung installieren und das Auto-Update per GPO deaktiviert haben, erfordern die mittlerweile wöchentlichen Updates in der letzten Zeit leider einen erhöhten Arbeitsaufwand.
Ansonsten:
Heute auch die Version 1.3.315 von Greenshot (in unserer Basisinstallation enthalten) ausgerollt, da die neue Version Sicherheitslücken schliesst.
"Greenshot: Schwachstelle ermöglicht Codeausführung"
https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-0806
Seit es das Sniping-Tool in Windows gibt, verteilen wir Greenshot nicht mehr.
https://learn.microsoft.com/en-us/deployedge/microsoft-edge-relnotes-security
March 20, 2026
Microsoft released the latest Microsoft Edge Stable Channel (Version 146.0.3856.72) which incorporates the latest Security Updates of the Chromium project. For more information, see the Security Update Guide.