Codeausführung über präparierte Webseiten Aktiv ausgenutzter V8-Fehler gefährdet Google Chrome

Anbieter zum Thema

cidaas by Widas ID GmbH

FTAPI Software GmbH

Google hat eine aktiv ausgenutzte Si­cher­heits­lü­cke in der JavaScript-Engine V8 geschlossen. Über eine präparierte HTML-Seite kann Code innerhalb der Chrome-Sandbox ausgeführt werden. Nutzer und Administratoren sollten den Update-Stand prüfen.

Google hat die aktiv ausgenutzte Schwachstelle EUVD-2026-70702 / CVE-2026-85046 in Chrome behoben. Die Si­cher­heits­lü­cke erreicht einen CVSS-Score von 8.8 und einen EPSS-Score* von 1.16. Google veröffentlichte sein Sicherheitsupdate am 3. September 2026, die US-Cybersicherheitsbehörde CISA nahm die Schwachstelle einen Tag später, am 4. September, in ihren Katalog bekannter aktiv ausgenutzter Schwachstellen auf.

EUVD-2026-70702 / CVE-2026-85046 ist ein Type-Confusion-Fehler in V8, der JavaScript- und WebAssembly-Engine von Google Chrome. Bei einer Type Confusion verarbeitet Software Daten mit einem falschen Datentyp. Dies kann zu fehlerhaften Speicherzugriffen führen und die Ausführung von manipuliertem Code ermöglichen.

Datenschutz im digitalen Marketing

Bringt das Google Consent Update Datenkontrolle oder neue Risiken?

Codeausführung innerhalb der Browser-Sandbox

Ein entfernter Angreifer kann die Schwachstelle über eine präparierte HTML-Seite ausnutzen. Dafür muss ein Nutzer die manipulierte Webseite aufrufen. Die erfolgreiche Ausnutzung erlaubt laut Google, beliebigen Code innerhalb der Chrome-Sandbox auszuführen.

Die Codeausführung ist laut Google auf die Browser-Sandbox beschränkt. Ein Ausbruch auf das Betriebssystem wird in der vorliegenden Beschreibung nicht genannt. Dennoch ist die Si­cher­heits­lü­cke kritisch zu bewerten, da Browser-Schwachstellen in Angriffsketten mit weiteren Sicherheitsfehlern kombiniert werden können. Der CVSS-Vektor weist Netz­werk­zu­griff, geringe Angriffskomplexität, keine erforderlichen Berechtigungen und notwendige Nutzerinteraktion aus. Google bestätigt, dass ein Exploit für die Schwachstelle in freier Wildbahn existiert.

DoS und Code-Ausführung

Drei Sandbox-Escape-Schwachstellen in vm2

Update auf aktuelle Chrome-Version

Salvatore Gulizia, der unter dem Namen „Serotav“ auftritt, meldete den Fehler laut Google am 4. August 2026. Der Hersteller honorierte den Fund mit 1.000 US-Dollar. Technische Details wer­den bisher zurückgehalten. Google begründet dies damit, dass Informationen zu Schwach­stel­len eingeschränkt bleiben können, bis die Mehrheit der Nutzer das Update installiert hat oder von der Si­cher­heits­lü­cke abhängige Drittprojekte ebenfalls korrigiert wurden.

Betroffen sind Chrome-Versionen vor 152.0.7977.82. Google stellt Chrome 152.0.7977.82 und 152.0.7977.83 für Windows und macOS sowie Chrome 152.0.7977.82 für Linux bereit. Die Verteilung erfolgt laut Google schrittweise über Tage oder Wochen. Unternehmen und private Nutzer sollten ihre Chrome-Version zeitnah überprüfen und den Browser gegebenenfalls auf die aktuelle Stable-Version aktualisieren.

Das Stable-Channel-Update behebt insgesamt zwölf Si­cher­heits­lü­cken. Neben EUVD-2026-70702 / CVE-2026-85046 schließt es unter anderem Fehler in Crash Reporting, dem Netzwerk-Code, Compositing, WebGL, CacheStorage, DevTools und Skia.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

SQL Injection

Google patcht unberechtigte Datenbankabfrage in SecOps

(ID:50947588)