Chromes achter Zero-Day des Jahres steckt im XML-Teil, und der Fix braucht einen Neustart
Google hat am Montag, dem 9. November, ein Chrome-Update mit neun Sicherheitskorrekturen verteilt. Eine davon wiegt schwerer als der Rest. CVE-2026-125350 ist ein Speicherfehler in dem Teil von Chrome, der XML verarbeitet, ein schlichtes Datenformat, das Websites im Hintergrund nutzen. Und in Googles Hinweis steht der Satz, den niemand gern liest: „Google ist bekannt, dass ein Exploit für CVE-2026-125350 im Umlauf ist.“
Damit sind es nach Zählung von BleepingComputer acht ausgenutzte Chrome-Zero-Days im Jahr 2026, so viele wie im gesamten Jahr 2025, und es bleiben noch sieben Wochen. Zwei der anderen wurden im September behoben. Laut CyberInsider hat ein anonymer Forscher die Lücke am 6. November gemeldet, Google hat den Fix also in drei Tagen geliefert. Wie üblich sagt das Unternehmen nicht, wer die Lücke ausnutzt oder gegen wen, und die technischen Details bleiben unter Verschluss, bis die meisten Nutzer aktualisiert haben. Bekannt ist die Art des Fehlers: ein Use-after-free, bei dem der Browser ein Stück Speicher weiterverwendet, das er schon zurückgegeben hat. Eine präparierte Webseite kann das missbrauchen, um eigenen Code auszuführen.
Die korrigierte Version ist 157.0.8103.50 oder .51 unter Windows und Mac und 157.0.8103.50 unter Linux. Chrome holt sie sich still im Hintergrund, aber die Sache hat einen Haken: Ein heruntergeladenes Update schützt nicht, solange der alte Browser noch läuft. Wenn Sie wochenlang vierzig Tabs offen lassen, öffnen Sie das Drei-Punkte-Menü, wählen Sie Hilfe, dann Über Google Chrome, warten Sie die Prüfung ab und klicken Sie auf Neu starten. Ihre Tabs kommen zurück. Edge, Brave, Opera und Vivaldi bauen auf demselben Chromium-Code auf. Rechnen Sie also damit, dass deren eigene Updates folgen, und installieren Sie sie, sobald sie angeboten werden.
Die App-Update-Prüfung von Tendvane, die winget nutzt, zeigt Ihnen, ob Chrome oder ein anderer Browser auf Ihrem PC noch auf einer älteren Version steht.