Chrome-Notfall-Update: V8-Zero-Day CVE-2026-11645 wird aktiv ausgenutzt

Google hat ein außerplanmäßiges Sicherheitsupdate für den Chrome-Browser veröffentlicht und damit eine Schwachstelle geschlossen, die bereits von Angreifern ausgenutzt wird. Die als CVE-2026-11645 geführte Lücke betrifft die JavaScript- und WebAssembly-Engine V8 und ist nach Angaben von Google die fünfte aktiv ausgenutzte Chrome-Zero-Day-Schwachstelle des Jahres 2026. Wer Chrome oder einen darauf basierenden Browser nutzt, sollte umgehend aktualisieren.

Worum es bei der Lücke geht

Laut Googles Advisory handelt es sich um einen Speicherzugriffsfehler in der V8-Engine, konkret um einen sogenannten Out-of-Bounds-Zugriff: Lese- und Schreiboperationen greifen über die vorgesehenen Speichergrenzen hinaus. Ein Angreifer kann darüber mit einer speziell präparierten HTML-Seite beliebigen Code innerhalb der Browser-Sandbox ausführen. Die Schwachstelle wurde mit einem CVSS-Score von 8.8 als hoch eingestuft.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Solche Fehler in der V8-Engine sind besonders heikel, weil V8 jeden JavaScript-Code ausführt, der beim Besuch einer Webseite anfällt. Für eine Ausnutzung genügt im Zweifel der Besuch einer manipulierten Seite – ein klassisches Szenario für Drive-by-Angriffe.

Aktive Ausnutzung bestätigt

Google bestätigte, dass ein Exploit für CVE-2026-11645 „in the wild“ existiert, hält weitere technische Details aber zurück. Das ist gängige Praxis: Solange ein Großteil der Nutzer noch nicht aktualisiert hat, bleiben die Einzelheiten zur Lücke unter Verschluss, um Nachahmer nicht zu ermutigen. Die US-Cybersicherheitsbehörde CISA nahm die Schwachstelle in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) auf, nachdem Google die aktive Ausnutzung bestätigt hatte.

Entdeckt und gemeldet wurde die Lücke am 27. April 2026 von einem Sicherheitsforscher, der unter dem Kürzel „303f06e3“ auftritt und dafür eine Bug-Bounty-Prämie von 55.000 US-Dollar erhielt.

Diese Versionen schließen die Lücke

Google hat die korrigierten Stable-Versionen am 8. Juni 2026 ausgerollt. Abgesichert sind Nutzer ab folgenden Versionen:

• Windows und macOS: 149.0.7827.102/.103
• Linux: 149.0.7827.102

Verwundbar sind alle Chrome-Versionen vor 149.0.7827.103. Da die V8-Engine auch das Herzstück anderer Chromium-basierter Browser ist, sollten Nutzer von Microsoft Edge, Brave, Vivaldi oder Opera ebenfalls auf zeitnahe Updates ihrer jeweiligen Hersteller achten.

Was Sie jetzt tun sollten

Chrome aktualisiert sich normalerweise automatisch, der Patch wird aber erst nach einem Neustart des Browsers wirksam. Prüfen Sie Ihre Version manuell über das Menü unter Hilfe → Über Google Chrome. Der Browser sucht dann nach Updates und fordert anschließend zum Neustart auf. In Unternehmensumgebungen empfiehlt es sich, den Rollout über die zentrale Verwaltung zu beschleunigen und sicherzustellen, dass keine veralteten Chromium-Builds im Einsatz bleiben.

Fazit

Fünf aktiv ausgenutzte Zero-Days in Chrome allein im Jahr 2026 unterstreichen, wie attraktiv die Browser-Engine als Angriffsziel bleibt. Die gute Nachricht: Der Patch ist verfügbar und schnell eingespielt. Ein kurzer Neustart des Browsers genügt, um sich vor dieser konkreten Bedrohung zu schützen.

Quellen

• The Hacker News: Chrome V8 Zero-Day CVE-2026-11645 Exploited in the Wild
• Help Net Security: Google patches Chrome zero-day exploited in the wild
• CISA: Known Exploited Vulnerabilities Catalog