Zwischen Meldung und Korrektur lagen drei Tage: Am 6. November erhielt Google einen anonymen Hinweis auf eine Lücke in der XML-Komponente von Chrome, am 9. November verteilte das Unternehmen Chrome 157.0.8103.50 für Linux und 157.0.8103.50/.51 für Windows und macOS. Den Grund für das Tempo nennt Google im Release-Hinweis: „Google is aware that an exploit for CVE-2026-125350 exists in the wild.“ Die Lücke wird also bereits angegriffen. Auf den automatischen Rollout, der laut Google über Tage bis Wochen läuft, solltest du dich deshalb nicht verlassen.

CVE-2026-125350: Use after free in XML

Google führt CVE-2026-125350 als Use-after-free-Fehler mit dem Schweregrad „High“. Bei dieser Fehlerklasse greift ein Programm auf Speicher zu, der bereits freigegeben wurde. Laut CVE-Eintrag konnte ein entfernter Angreifer über eine präparierte HTML-Seite beliebigen Code ausführen, und zwar innerhalb der Sandbox des Browsers. Für einen Zugriff auf das übrige System bräuchte ein Angreifer also einen weiteren Ausbruch. Ob die beobachteten Angriffe eine solche Kette nutzen, ist nicht bekannt: Google schweigt zu Angreifern, Zielen und Angriffsweg und hält wie üblich auch die Fehlerdetails zurück, bis die Mehrheit der Nutzer aktualisiert hat.

Einen CVSS-Wert nennt Google nicht. Die US-Cybersicherheitsbehörde CISA bewertet die Lücke mit 8,8 (Angriff über das Netz, ohne Rechte, mit Benutzerinteraktion) und hat sie am 10. November in ihren Katalog ausgenutzter Lücken (KEV) aufgenommen. US-Bundesbehörden müssen bis 24. November patchen. Nach Zählung von BleepingComputer und The Register ist CVE-2026-125350 der achte in Angriffen ausgenutzte Chrome-Zero-Day des Jahres. Das deckt sich mit dem KEV-Katalog: Er führt für 2026 acht ausgenutzte Lücken, die Google in Chrome geschlossen hat, vier davon in der JavaScript-Engine V8, je eine in der Grafikbibliothek Skia, in der WebGPU-Implementierung Dawn, in der CSS-Verarbeitung und nun in der XML-Komponente.

Neun Korrekturen, darunter eine zweite XML-Lücke

Insgesamt behebt das Update neun Sicherheitslücken, sieben davon mit Schweregrad „High“, zwei mit „Medium“. Neben CVE-2026-125350 steckt eine zweite Use-after-free-Lücke in der XML-Komponente: CVE-2026-125346, die Arni Hardarson von Neonix Security am 12. Oktober gemeldet hat. Angriffe darauf erwähnt Google nicht. Die übrigen Fehler betreffen WebGL, das FileSystem-Modul, das Compositing, die GPU-Komponente und V8, wo Google eine Type Confusion beseitigt. Sechs der neun Lücken hat Google selbst gefunden.

Symbolbild: HTML- und JavaScript-Quelltext mit Syntaxhervorhebung auf einem Bildschirm

Symbolbild – Bild: Programming code von Martin Vorel, Lizenz CC BY-SA 4.0, via Wikimedia Commons

Auch die anderen Kanäle sind versorgt. Der Extended-Stable-Kanal für Windows und macOS erhielt am 9. November Version 156.0.8078.96 mit der Korrektur. Chrome für Android kam am selben Tag als 157.0.8103.50; die Android-Fassungen enthalten laut Google dieselben Sicherheitskorrekturen wie die passende Desktop-Version. Für iOS veröffentlichte Google am 10. November Chrome 158.0.8127.32, ohne Angaben zu Sicherheitskorrekturen.

Opera, Brave und Vivaldi haben nachgezogen, Edge noch nicht

Der Fehler steckt in Chromium und kann damit auch andere Browser auf dieser Basis betreffen; die CISA nennt ausdrücklich Microsoft Edge und Opera. Brave hat am 10. November Version 1.99.56 mit Chromium 157.0.8103.50 veröffentlicht. Opera 140, seit dem 10. November im Stable-Kanal, basiert zwar auf Chromium 157.0.8103.39, enthält laut Hersteller aber die Korrektur für CVE-2026-125350. Vivaldi hat sie mit dem zweiten Minor-Update für Version 8.3 vom 10. November in seine Chromium-Basis 156.0.8078.99 übernommen.

Bei Microsoft Edge steht die Korrektur noch aus. In den Sicherheits-Release-Notes schreibt Microsoft am 9. November lediglich, man wisse von den Exploits und arbeite an einem Sicherheitsupdate. Bis zum Vormittag des 11. November war keine neue Edge-Version mit der Korrektur erschienen; die jüngste Stable-Version 157.0.4341.42 stammt vom 5. November.

Was du jetzt tun solltest

Version prüfen und neu starten. In Chrome über das Dreipunkt-Menü › „Hilfe“ › „Über Google Chrome“. Chrome sucht dann nach Updates. Erscheint die Schaltfläche „Neu starten“, wird die neue Version erst mit dem Neustart aktiv. Geschützt bist du ab 157.0.8103.50 unter Linux, ab 157.0.8103.50/.51 unter Windows und macOS und im Extended-Stable-Kanal ab 156.0.8078.96. Die genaue Version zeigt auch die Adresse chrome://version. Unter Linux kommt das Update über den Paketmanager:

google-chrome --version

# Debian/Ubuntu mit Googles Paketquelle
sudo apt update && sudo apt install --only-upgrade google-chrome-stable

# Fedora/RHEL
sudo dnf upgrade google-chrome-stable

# macOS: Version im Terminal abfragen
"/Applications/Google Chrome.app/Contents/MacOS/Google Chrome" --version

Neustart erzwingen in verwalteten Umgebungen. Chrome lädt Updates im Hintergrund, wendet sie aber erst beim nächsten Start an. Auf Rechnern, deren Browser tagelang offen bleibt, läuft also weiter die verwundbare Version. Administratoren können mit der Richtlinie RelaunchNotification einen Neustart empfehlen (Wert 1) oder verlangen (Wert 2), etwa per Gruppenrichtlinie unter Windows oder über die Google Admin-Konsole. RelaunchNotificationPeriod legt die Frist in Millisekunden fest, Standard sind sieben Tage. Angesichts laufender Angriffe ist ein deutlich kürzerer Wert sinnvoll, etwa ein Tag. Unter Linux genügt dafür eine JSON-Datei im Verzeichnis /etc/opt/chrome/policies/managed/:

{
  "RelaunchNotification": 2,
  "RelaunchNotificationPeriod": 86400000
}

Wer Edge, Opera, Brave oder Vivaldi verteilt, muss deren Versionen gesondert prüfen. Bei Edge heißt das vorerst: das angekündigte Update im Blick behalten und sofort einspielen, sobald Microsoft es veröffentlicht.

Quellen

Bildnachweis