Es reicht ein Besuch auf der falschen Seite. Google hat ein Notfall-Update für Chrome ausgerollt, weil eine Lücke in der JavaScript-Engine V8 bereits angegriffen wird — und zwar nicht theoretisch, sondern nachweislich draußen im echten Netz.
Die Nummer der Lücke: CVE-2026-85046. Die Nummer, die dich mehr interessieren sollte: sechs. So viele Chrome-Zero-Days sind allein in diesem Jahr aktiv ausgenutzt worden.
TYPVERWECHSLUNG: Was da eigentlich schiefgeht
V8 ist der Motor, der jedes Stück JavaScript auf jeder Webseite ausführt, die du öffnest. Damit das schnell geht, trifft V8 Annahmen darüber, welchen Datentyp ein Wert im Speicher hat. Bei einer Typverwechslung (englisch „type confusion“) lässt sich der Motor überreden, einen Wert als etwas anderes zu behandeln, als er ist.
Das Ergebnis: Ein Angreifer kann Speicher lesen und schreiben, an den er nicht herankommen dürfte — und darüber eigenen Code ausführen. Der Einstiegspunkt ist eine präparierte HTML-Seite. Mehr braucht es nicht als deinen Klick auf einen Link.
Die gute Nachricht steckt im CVSS-Wert von 8.8 und im Kleingedruckten: Der Code landet zunächst innerhalb der Chrome-Sandbox. Um daraus wirklich auf dein System zu kommen, braucht ein Angreifer eine zweite Lücke, die aus der Sandbox ausbricht. Das ist ein echter Schutzwall — aber eben nur einer, und Angreifergruppen ketten solche Fehler routiniert aneinander.
DIESE VERSION MUSST DU HABEN
Google verteilt den Fix schrittweise. Diese Stände sind sauber:
- Windows und macOS: 152.0.7977.82 oder .83
- Linux: 152.0.7977.82
Insgesamt hat Google in diesem Rutsch zwölf Schwachstellen geschlossen; CVE-2026-85046 ist die einzige davon, für die aktive Angriffe bestätigt sind.
So prüfst du deinen Stand in unter einer Minute: Menü oben rechts öffnen, Hilfe → Über Google Chrome anklicken. Chrome sucht dann automatisch nach Updates und lädt sie herunter. Der entscheidende Schritt ist der Neustart — ohne ihn läuft die alte, verwundbare Version einfach weiter. Wer Chrome seit Tagen offen hat, hat den Patch vermutlich schon auf der Platte, aber nicht im Speicher.
NICHT NUR CHROME: Wer sonst noch dranhängt
V8 steckt nicht nur in Chrome. Edge, Brave, Vivaldi und Opera bauen auf demselben Chromium-Unterbau auf und brauchen ihre eigenen Updates — die kommen meist ein bis drei Tage nach Google. Prüfe also auch dort. Und wenn du im Homelab einen Container mit einem Chromium-Browser betreibst — etwa für Screenshot-Dienste, Web-Scraping oder ein Dashboard-Display — steht auch dort ein Image-Update an.
EXTRA-TIPP: Zwei Handgriffe gegen den nächsten Zero-Day
Weil es einen siebten geben wird, lohnen sich zwei Gewohnheiten:
- Starte den Browser regelmäßig neu. Chrome lädt Updates im Hintergrund, aktiviert sie aber erst beim Neustart. Wer wochenlang durchläuft, ist trotz automatischer Updates verwundbar.
- Schalte „Erweiterten Schutz“ ein. Unter Einstellungen → Datenschutz und Sicherheit → Sicherheit gibt es diesen Modus, der verdächtige Seiten und Downloads deutlich aggressiver prüft.
FAZIT: Ein Neustart, fünf Sekunden
Diese Lücke wurde am 4. August von dem Sicherheitsforscher Salvatore Gulizia gemeldet und mit einer eher symbolischen Prämie von 1.000 US-Dollar honoriert. Wer sie inzwischen ausnutzt und gegen wen, sagt Google nicht — das ist üblich, solange das Update noch ausrollt. Für dich ändert das nichts an der Aufgabe: aktualisieren, neu starten, fertig.