Google hat ein Notfall-Update für seinen Browser Chrome veröffentlicht, um eine bereits aktiv ausgenutzte Sicherheitslücke zu schließen. Die neue Version 152.0.7977.82/.83 steht für Windows und macOS bereit, für Linux erscheint sie als 152.0.7977.82. Insgesamt behebt das Update zwölf Schwachstellen im Browser.
Kritische Schwachstelle in der V8-Engine
Im Zentrum des Updates steht die Sicherheitslücke CVE-2026-85046, ein sogenannter Type-Confusion-Fehler in der JavaScript-Engine V8 von Chrome. Google bewertet den Schweregrad mit einem CVSS-Wert von 8,8 und stuft ihn damit als hoch ein. Besonders brisant: Die Lücke wurde bereits aktiv von Angreifern ausgenutzt, bevor der Patch verfügbar war.
Gemeldet wurde die Schwachstelle vom Sicherheitsforscher Salvatore Gulizia, der unter dem Namen Serotav auftritt. Für seinen Fund erhielt er von Google eine Belohnung im Rahmen des Bug-Bounty-Programms in Höhe von 1.000 US-Dollar.
Damit ist CVE-2026-85046 nach Angaben von Sicherheitsforschern bereits die sechste Chrome-Zero-Day-Schwachstelle des Jahres 2026, die aktiv ausgenutzt wurde. Zuvor waren bereits die Schwachstellen CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281 und CVE-2026-11645 bekannt geworden.
Fragwürdiger Bericht über KI-gestützten Exploit
Der aktuelle Vorfall zeigt, wie schnell neue Technologien wie KI die Bedrohungslage für Unternehmen verschärfen können. Dieser kostenlose Report klärt darüber auf, welche rechtlichen Pflichten und neuen Cyberrisiken Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken verstehen
Für zusätzliche Aufmerksamkeit sorgte die Behauptung eines Forschers, der unter dem Namen CyberKimi eine gleichnamige KI entwickelt haben will. Diese KI habe einen V8-Patch vom 2. September 2026 innerhalb von weniger als 24 Stunden in einen funktionierenden Exploit umgewandelt.
Konkret soll es sich um die Chromium-Bugs mit den Kennnummern 554421904 und 530292883 gehandelt haben. Ein Video zeigt demnach einen Exploit mit deaktivierter Sandbox. Die Behauptung ist bislang nicht unabhängig bestätigt worden.
Sollte sich der Bericht als zutreffend erweisen, würde er die Zeitspanne verdeutlichen, die Unternehmen und Nutzern nach der Veröffentlichung eines Sicherheitspatches bleibt, bevor Angreifer daraus einen funktionsfähigen Angriffscode ableiten können.
Neue Meldepflicht ab 11. September
Angesichts der zunehmenden Professionalisierung von Cyberangriffen ist ein proaktiver Schutz für Firmen unerlässlich. Experten erklären in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. IT-Sicherheit ohne teure Investitionen stärken
Der Vorfall fällt in eine phase verschärfter regulatorischer Anforderungen: Ab dem 11. September gilt der Cyber Resilience Act, der Unternehmen dazu verpflichtet, aktiv ausgenutzte Schwachstellen innerhalb von 24 Stunden zu melden. Für Hersteller wie Google dürfte dies künftig bedeuten, dass Zero-Day-Lücken wie CVE-2026-85046 noch schneller offengelegt werden müssen.
Nutzer sollten zeitnah aktualisieren
Angesichts der bestätigten aktiven Ausnutzung der Schwachstelle empfehlen Sicherheitsexperten allen Chrome-Nutzern, das Update umgehend einzuspielen. Chrome aktualisiert sich in der Regel automatisch im Hintergrund, ein manueller Neustart des Browsers ist jedoch notwendig, damit der Patch vollständig wirksam wird. Nutzer können den aktuellen Versionsstand über die Einstellungen unter „Über Google Chrome“ überprüfen.
Die Häufung von Zero-Day-Schwachstellen in Chrome im Jahresverlauf 2026 zeigt, dass der Browser als weitverbreitete Software weiterhin ein bevorzugtes Ziel für Angreifer bleibt. Die kurze Zeitspanne zwischen Bekanntwerden und angeblicher Exploit-Entwicklung durch KI-Systeme dürfte die Diskussion über automatisierte Angriffswerkzeuge in der IT-Sicherheitsbranche weiter befeuern.
