Google hat am Montag, 9. November 2026, ein außerplanmäßiges Sicherheitsupdate für den Desktop-Browser Chrome veröffentlicht. Die neue Version 157.0.8103.50 (unter Windows und macOS teils auch .51) behebt neun Schwachstellen. Eine davon, CVE-2026-125350, ist besonders heikel: Google schreibt in seiner Mitteilung, dass ein Exploit für diese Lücke „in the wild“ existiert. Angreifer haben also bereits ein funktionierendes Werkzeug in der Hand. Wer Chrome nutzt, sollte deshalb nicht auf das automatische Update warten.
Welche Version brauchen Sie?
| Betriebssystem | Abgesicherte Version |
|---|---|
| Windows | 157.0.8103.50 oder .51 |
| macOS | 157.0.8103.50 oder .51 |
| Linux | 157.0.8103.50 |
Google verteilt die Aktualisierung nach eigener Angabe „über die kommenden Tage und Wochen“. Gerade in den ersten Tagen ist es daher gut möglich, dass Ihr Rechner die neue Version noch nicht von selbst geladen hat.
Was über die ausgenutzte Lücke bekannt ist
Bei CVE-2026-125350 handelt es sich um einen Use-after-free-Fehler in der Komponente, die XML-Daten verarbeitet. Vereinfacht gesagt greift der Browser auf einen Speicherbereich zu, den er zuvor schon wieder freigegeben hat. Solche Speicherfehler können Abstürze auslösen und im ungünstigsten Fall das Einschleusen von Schadcode ermöglichen. Google stuft die Lücke als hoch ein. Gemeldet wurde sie am 6. November von einer anonymen Person; bis zum Patch vergingen damit nur drei Tage.
Vieles bleibt offen: Einen CVSS-Wert hat Google nicht genannt. Auch wer die Lücke ausnutzt, gegen wen sich die Angriffe richten und wie sie ablaufen, verrät der Konzern nicht. Das ist üblich, denn Fehlerdetails bleiben gesperrt, bis die Mehrheit der Nutzer aktualisiert hat. Wir verzichten aus demselben Grund auf Angaben zur Angriffstechnik.
Die übrigen acht Korrekturen
Neben der Zero-Day-Lücke enthält das Paket sechs weitere hoch eingestufte Fehler. Fünf davon hat Google selbst entdeckt, sie stecken in WebGL, im Dateisystem-Zugriff, im Compositing, in der GPU-Verarbeitung und in der JavaScript-Engine V8. Die sechste ist ein zweiter Use-after-free im XML-Bereich (CVE-2026-125346), den der Sicherheitsforscher Arni Hardarson von Neonix Security bereits im Oktober gemeldet hatte. Die beiden mittelschweren Lücken betreffen ebenfalls die GPU. Für diese acht Fehler nennt Google keine bekannten Angriffe.
So aktualisieren Sie Chrome
- Klicken Sie oben rechts auf das Drei-Punkte-Menü.
- Wählen Sie Hilfe > Über Google Chrome oder geben Sie
chrome://settings/helpin die Adresszeile ein. - Chrome sucht nun nach dem Update und lädt es herunter.
- Klicken Sie auf Neu starten. Erst danach ist die Korrektur aktiv.
Ihre geöffneten Tabs stellt Chrome nach dem Neustart wieder her. Für IT-Abteilungen gilt: Wo Updates per Richtlinie verzögert werden, lohnt sich hier eine vorgezogene Verteilung, weil bereits ein Exploit existiert.
Edge, Brave, Opera und Vivaldi
Alle großen Chromium-Browser nutzen denselben Kern wie Chrome. Microsoft Edge, Brave, Opera und Vivaldi übernehmen Googles Korrekturen erfahrungsgemäß mit eigenen Updates, meist einige Tage später. Ein konkretes Datum haben die Hersteller noch nicht genannt. Prüfen Sie daher in den nächsten Tagen im jeweiligen „Über“-Menü, ob eine neue Version bereitsteht.
Achte Zero-Day in diesem Jahr
Laut einer Zählung von The Hacker News ist CVE-2026-125350 bereits die achte aktiv ausgenutzte Chrome-Lücke, die Google 2026 schließt. Im Oktober sah das noch anders aus: Das Chrome-155-Update mit 37 Korrekturen kam ohne bekannte Angriffe aus. Wer seinen Browser zusätzlich absichern will, sollte auch Zugangsdaten sauber verwalten; einen Überblick gibt unser Passwort-Manager-Vergleich.
Häufige Fragen
Wie prüfe ich, ob Chrome geschützt ist?
Rufen Sie chrome://settings/help auf. Steht dort 157.0.8103.50 oder höher und haben Sie den Browser neu gestartet, ist die Lücke geschlossen.
Betrifft das auch Chrome auf Android oder dem iPhone?
Googles Mitteilung vom 9. November gilt nur für Desktop-Versionen unter Windows, macOS und Linux. Die Mobil-Apps aktualisieren Sie separat über Play Store oder App Store; lassen Sie automatische Updates dort eingeschaltet.
Muss ich den PC neu starten?
Nein. Es genügt, Chrome vollständig zu schließen und wieder zu öffnen.
