Google hat eine Schwachstelle mit hoher Schwere in Chrome behoben, nachdem bestätigt wurde, dass Angreifer sie bereits in freier Wildbahn ausnutzten.

Die als CVE-2026-85046 erfasste Lücke betrifft V8, die Engine, mit der Chrome JavaScript und WebAssembly ausführt. Da V8 den Code jeder von einem Nutzer besuchten Website verarbeitet, sind Fehler darin attraktive Ziele für Angreifer, die sie allein durch das Locken eines Opfers auf eine bösartige Webseite auslösen können. Google hat weder die Angreifer, ihre Opfer noch die Fähigkeiten des Exploits identifiziert.

„Google weiß, dass ein Exploit für CVE-2026-85046 in freier Wildbahn existiert“, sagte das Unternehmen in einer am Donnerstag veröffentlichten Sicherheitsmitteilung. „Wir möchten uns außerdem bei allen Sicherheitsforschern bedanken, die uns während des Entwicklungszyklus unterstützt haben, um zu verhindern, dass Sicherheitsfehler überhaupt den Stable-Kanal erreichen.“

Der Patch ist in Chrome 152.0.7977.82 und 152.0.7977.83 für Windows und Mac sowie in Version 152.0.7977.82 für Linux enthalten. Google erklärte, das Update werde „in den kommenden Tagen/Wochen verteilt“. Nutzer können ihre Version über das Einstellungsmenü von Chrome prüfen und ausstehende Updates installieren; Chromium-basierte Browser wie Edge, Brave und Opera übernehmen die gleichen V8-Fixes in der Regel nach ihren eigenen Release-Zeitplänen.

CVE-2026-85046 ist ein Fehler vom Typ Type Confusion. Solche Fehler entstehen, wenn Software Daten als falschen Typ behandelt, was Speicherfehler oder anderes unerwartetes Verhalten verursacht. Google hat nicht mitgeteilt, ob sich der Fehler zur remoten Codeausführung nutzen lässt.

Der Sicherheitsforscher Salvatore Gulizia, auch bekannt als Serotav, meldete die Lücke am 4. August und erhielt von Google eine Bug-Bounty von 1.000 US-Dollar. V8-Fehler haben im Rahmen von Googles Belohnungsprogramm wiederholt Prämien eingebracht, und in freier Wildbahn genutzte Chrome-Zero-Days werden in einem typischen Jahr mehrfach offengelegt.

Das Chrome-Update umfasst insgesamt 12 Sicherheitskorrekturen, davon neun mit hoher und zwei mit mittlerer Schwere. Google hält einige Details zurück, bis die meisten Nutzer – und betroffene Drittanbieter-Projekte – die Patches installiert haben, und hat nicht mitgeteilt, wann weitere Informationen zum Exploit veröffentlicht werden.

Krypto-Diebstahl über Browser

Google hat CVE-2026-85046 zwar nicht mit Angriffen auf Kryptowährungsnutzer in Verbindung gebracht, doch Browser-Wallets, Börsenkonten und Handels-Erweiterungen wurden auf anderen Wegen ins Visier genommen. Krypto-Inhaber sind ein häufiges Ziel solcher Kampagnen, da Browser-Erweiterungen und Wallets nach einer Kompromittierung direkten Zugriff auf die Gelder ermöglichen können.

Im November 2025 entdeckten Forscher eine bösartige Chrome-Erweiterung, die den Swaps der Nutzer versteckte SOL-Transfers hinzufügte.

Einen Monat später berichtete ein Unternehmer aus Singapur, dass Malware, die sich als Spiel tarnte, mehr als 14.000 US-Dollar aus seinen browsergebundenen Wallets abzog. Er vermutete, dass der Angriff gestohlene Authentifizierungstoken und einen früheren Chrome-Zero-Day umfasste; eine Verbindung zu CVE-2026-85046 wurde jedoch nicht gemeldet.

Kürzlich, im August, deckten Forscher zudem Dutzende gefälschter Firefox-Wallet-Erweiterungen auf, die Wallet-Zugangsdaten stahlen.