Chrome-Sicherheitslücken hat Google im Juni 2026 in Rekordzahl geschlossen: 1.072 Stück in den Meilensteinen 149 und 150, mehr als in den 23 Versionen der beiden Vorjahre zusammen.[1] Die meisten davon fand ein Gemini-Agent, der den Chrome-Code eigenständig durchsucht. Über die Sicherheit im Unternehmen entscheidet damit das Tempo, mit dem Updates die Arbeitsplätze erreichen.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Das Wichtigste in Kürze
- 1.072 behobene Sicherheitslücken in Chrome 149 und 150, mehr als in den 23 Meilensteinen davor zusammen
- Ein Agenten-Gerüst um Gemini durchsucht den gesamten Chrome-Code, CodeMender fängt Fehler schon in der Bauprüfung ab
- Ein Sandbox-Ausbruch überdauerte mehr als 13 Jahre im Chrome-Code, bis ein Agent den Fehler aufspürte
- Ab dem 11. September 2026 verlangt der Cyber Resilience Act eine Erstmeldung binnen 24 Stunden für aktiv ausgenutzte Schwachstellen
Wie findet ein Agent 1.072 Lücken?
Fehlalarme bremsten die Schwachstellensuche jahrelang stärker als knappe Rechenzeit. Automatische Fuzzer liefern seit Jahren mehr Verdachtsfälle, als Menschen prüfen können, und die Vorprüfung einer einzelnen Meldung kostete das Chrome-Team bislang fünf bis über 30 Minuten. Anfang 2026 baute Google deshalb ein Agenten-Gerüst um Gemini, das den gesamten Chrome-Code durchsucht und die Fehlalarme vorab aussortiert.[1]
Big Sleep aus der Zusammenarbeit von Google DeepMind und Project Zero nimmt sich die JavaScript-Engine V8 und den Grafikstack vor. Ein zweiter Agent, CodeMender, hängt direkt in der Bauprüfung und blockierte im Mai 2026 über 20 Lücken vor der Auslieferung, darunter eine kritische.[1] Einen Sandbox-Ausbruch spürte ein Agent auf, nachdem der Fehler mehr als 13 Jahre unbemerkt im Code gelegen hatte. Zur Trefferquote der Agenten und zu zurückgenommenen Korrekturen nennt das Chrome-Security-Team keine Zahlen.
Ist Chrome damit ein Sonderfall?
Die Bestätigungsquote kippt gerade in der ganzen Branche. Das curl-Projekt schloss sein Bug-Bounty-Programm am 1. Februar 2026, weil maschinell erzeugte Scheinmeldungen den Anteil echter Funde unter fünf Prozent gedrückt hatten. Schon im März kehrte Projektgründer Daniel Stenberg zu HackerOne zurück: Fast jede Meldung nutzt inzwischen KI, doch 15 bis 16 Prozent davon treffen wieder zu, bei doppeltem Volumen.[2] Denselben Umschwung meldeten Maintainer von Apache httpd, Django, Firefox, Git, Linux-Kernel und Python.
Beide Seiten rüsten mit demselben Werkzeugkasten auf. Microsoft lässt ein eigenes Modell Lücken suchen und den Patch entwerfen, Cisco stellt eine offene Mini-KI für die Codeprüfung daneben. Im WordPress-Umfeld reichten zuletzt 22 Euro Rechenkosten für den Fund einer kritischen Lücke. Angreifer arbeiten mit derselben Automatisierung, wie eine Pipeline zeigte, die in 72 Stunden 300 Zero-Days in WordPress-Plugins fand.
Google liefert Chrome-Updates inzwischen im Wochentakt, viele IT-Abteilungen rollen quartalsweise aus. Genau diese Wochen zwischen Patch und Installation sind das eigentliche Risiko.
— Michael Dobler, Herausgeber Dr. Web
24 Stunden, ab dem 11. September 2026
Ab diesem Stichtag melden Hersteller digitaler Produkte eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden über die ENISA-Plattform. Nach 72 Stunden folgen Details, nach 14 Tagen der Abschlussbericht.
Was bedeutet das für Ihre IT?
Der Abstand zum Patch entscheidet über den Nutzen. Google stellt gerade auf zweiwöchige Hauptversionen mit wöchentlichen Sicherheitsupdates um und testet bereits zwei Sicherheitsreleases pro Woche.[1] Ein verwalteter Chrome-Rollout, der den fälligen Neustart wochenlang aufschiebt, verschenkt genau diesen Vorsprung. Wie andere Browser mit dem Tempo umgehen, zeigt unser Vergleich der 20 wichtigsten Browser im DACH-Raum.
Ab dem 11. September 2026 greift die Meldepflicht des Cyber Resilience Act. Hersteller digitaler Produkte melden eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden über die zentrale ENISA-Plattform, ergänzen nach 72 Stunden und liefern nach 14 Tagen den Abschlussbericht.[3] Intern gefundene Lücken wie die 1.072 aus Chrome lösen diese Frist nicht aus, ein einziger ausgenutzter Fehler im eigenen Produkt dagegen sofort.
Zwei Schritte ordnen die Reaktion. Zunächst gehört das Update-Intervall für Browser von Wochen auf Tage, samt erzwungenem Neustart nach dem Rollout. Danach besetzen Sie den 24-Stunden-Meldeweg namentlich, mitsamt Urlaubsvertretung, denn die Frist läuft auch am Freitagabend. Welche Modelle diese Prüfarbeit übernehmen, ordnet unsere Übersicht zu KI-Systemen ein.
FAQ: Chrome-Sicherheitslücken und KI-Agenten
Wie viele Chrome-Sicherheitslücken hat Google im Juni 2026 geschlossen?
Google hat in den Chrome-Versionen 149 und 150 zusammen 1.072 Sicherheitslücken behoben. Diese Zahl übertrifft die Summe aller Lücken, die das Chrome-Team in den 23 Meilensteinen der beiden Vorjahre geschlossen hat. Den Sprung ermöglichte ein Gemini-Agent, der den gesamten Chrome-Code durchsucht.
Welche KI-Werkzeuge sucht Google nach Chrome-Lücken?
Im Einsatz sind drei Bausteine: ein Agenten-Gerüst um Gemini für die breite Codesuche, Big Sleep aus der Zusammenarbeit von Google DeepMind und Project Zero für die JavaScript-Engine V8 und den Grafikstack sowie CodeMender, das direkt in der Bauprüfung sitzt und Fehler vor der Auslieferung abfängt.
Ist Chrome durch die vielen Funde jetzt unsicherer geworden?
Die Zahl misst die Fundrate, nicht die Angriffslage. Der größte Teil der 1.072 Lücken wurde intern entdeckt und geschlossen, bevor Angreifer davon wussten. Kritisch bleibt die Zeit zwischen dem Patch und der Installation auf den Arbeitsplätzen im Unternehmen.
Wie schnell liefert Google Chrome-Sicherheitsupdates aus?
Google stellt gerade auf einen zweiwöchigen Rhythmus für Hauptversionen mit wöchentlichen Sicherheitsupdates um und testet zusätzlich zwei Sicherheitsreleases pro Woche. Firmen mit verwalteten Chrome-Installationen sollten ihr Rollout-Intervall entsprechend verkürzen.
Was fordert der Cyber Resilience Act ab September 2026?
Ab dem 11. September 2026 melden Hersteller digitaler Produkte eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden über die zentrale ENISA-Meldeplattform. Nach 72 Stunden folgen weitere Angaben, der Abschlussbericht steht nach 14 Tagen an. Intern gefundene Lücken ohne Ausnutzung lösen die Frist nicht aus.
Quellen
[1] Google Chrome Security Team: „Stronger with every update: How we’re making Chrome and the web safer in the AI Era“
[2] Daniel Stenberg (curl): „High-Quality Chaos“
[3] Bundesamt für Sicherheit in der Informationstechnik: „Cyber Resilience Act“
Mehr Newshunger?
- 74 Chrome-Lücken gestopft, eine Zero-Day aktiv
- Rückstau bei 300 Sicherheitslücken: Microsoft kommt nicht mehr nach mit den Patches
- Gemini 3.6 Flash und 3.5 Flash Cyber: Google verbilligt die KI und jagt Sicherheitslücken
- Kriminelle bauen ihren ersten Zero-Day mit KI
- Anonymer GitHub-Account veröffentlicht massenhaft ungemeldete Zero-Days
- Chrome Zero-Day Sicherheitslücke wird aktiv ausgenutzt
