Zero-Day in allen Chromium-Browsern: Die V8-Lücke wird bereits ausgenutzt

Ein präpariertes Browserfenster genügt: Über die Lücke CVE-2026-85046 in der Chromium-Engine V8 schleusen Angreifer bereits Schadcode auf fremde Rechner. Betroffen sind nicht nur Chrome, sondern auch Edge, Brave, Opera und Vivaldi. Google hat den Fix am 3. September 2026 verteilt, wirksam wird er aber erst nach einem Neustart.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Ein Chromium Zero-Day wie CVE-2026-85046 trifft mehr Geräte als jede WordPress-Lücke, weil praktisch jeder Arbeitsplatz einen Chromium-Browser öffnet. Google stuft die Schwachstelle als hoch ein, CVSS 8.8, und bestätigt Angriffe im Umlauf. Für IT-Verantwortliche zählt jetzt jede Stunde bis zum erzwungenen Update.

Das Wichtigste in Kürze

• CVE-2026-85046 ist eine Type-Confusion-Lücke in Googles JavaScript-Engine V8 und erlaubt Schadcode allein durch den Aufruf einer präparierten Webseite.
• Betroffen sind alle Chromium-Browser, darunter Chrome, Microsoft Edge, Brave, Opera und Vivaldi.
• Der Fix steckt in Chrome 152.0.7977.82 und greift erst nach einem Neustart des Browsers.
• Die US-Behörde CISA setzte die Lücke am 4. September 2026 auf ihre Liste aktiv ausgenutzter Schwachstellen, mit Frist zum 18. September.

Wie funktioniert die Lücke im V8-Engine?

CVE-2026-85046 ist eine Type Confusion, ein Verwechslungsfehler im Speicher.^[1] Die V8-Engine übersetzt JavaScript zur Laufzeit in schnellen Maschinencode und verlässt sich dabei auf den festgelegten Typ jedes Objekts. Bekommt ein Array mit gepackten Werten die interne Typbeschreibung eines reinen Zahlen-Arrays untergeschoben, liest und schreibt der Code an Speicherstellen, die für ihn gesperrt sein müssten.

Aus diesem Lese- und Schreibzugriff bauen Angreifer eine Kette bis zur Codeausführung. Ein einziger Besuch auf einer manipulierten Seite reicht, kein Download und kein Klick auf einen Anhang. Genau diese Unsichtbarkeit macht den Angriff über Phishing-Seiten und verseuchte Werbebanner so brauchbar.

Warum reicht ein Patch allein nicht?

Die Codeausführung findet zunächst in der Sandbox statt, dem abgeschotteten Bereich, in dem Chromium jede Webseite rendert. CVE-2026-85046 allein übernimmt also noch nicht das Betriebssystem. Für die volle Kontrolle müssen Angreifer eine zweite Lücke anhängen, die aus der Sandbox ausbricht oder Rechte ausweitet.

Diese Verkettung ist der Regelfall, nicht die Seltenheit. Fehler in der V8-Engine kehren zuverlässig wieder: Schon zuvor schloss Google mit CVE-2026-11645 einen Zero-Day in derselben Engine, und weitere Chrome-Notfall-Updates folgten übers Jahr 2026. Der JIT-Compiler, der JavaScript beschleunigt, bleibt die wunde Stelle des Browsers.

Was bedeutet die Lücke für Unternehmen im DACH-Raum?

Die Warnung aus den USA ist auch ein Signal für europäische Admins. Die US-Behörde CISA setzte CVE-2026-85046 am 4. September 2026 auf ihren Katalog aktiv ausgenutzter Schwachstellen und verpflichtet die Bundesbehörden, bis zum 18. September zu patchen.^[2] Das Zeitfenster zum Patchen wird enger, seit Angreifer veröffentlichte Fixes immer schneller nachbauen.

Unter NIS2 gehört ein nachweisbares Patch-Management ohnehin zu den Pflichten vieler Betriebe, und das BSI empfiehlt für aktiv ausgenutzte Lücken das kurzfristige Einspielen. In der Praxis sind diese Schritte nötig:

• Chrome auf Version 152.0.7977.82 oder höher aktualisieren und den Browser danach neu starten, sonst bleibt der verwundbare Code aktiv.
• Edge, Brave, Opera und Vivaldi über ihre eigenen Update-Kanäle nachziehen, weil alle dieselbe V8-Engine nutzen und den Fix zeitversetzt bekommen.
• Das Update per Gruppenrichtlinie oder MDM erzwingen, statt auf die Aufmerksamkeit der Belegschaft zu setzen.

Der wichtigste Handgriff kostet zwei Minuten: Über das Chrome-Menü läuft die Update-Prüfung, der anschließende Neustart aktiviert den Fix. In größeren Umgebungen rollen Admins die neue Version zentral aus und kontrollieren per Richtlinie, dass kein Gerät auf einer verwundbaren Version hängen bleibt.

Quellen

[1] NVD (NIST): Eintrag zu CVE-2026-85046 (Type Confusion in V8)

[2] CISA: Known Exploited Vulnerabilities Catalog

Mehr Newshunger?

• KI-Penetrationstests: Tencent Cloud schickt autonome Agenten auf Lückensuche
• Sicherheits-Check für KI-Agenten: Tenable prüft die Community-Bausteine mit OpenAIs Cyber-Modellen
• BKA-Lagebild: 165 Sabotagefälle und hybride Angriffe auf kritische Infrastruktur
• Dropbox: Ein fremder Lenovo-Login genügte zur Kontoübernahme
• WPLP Cookie Consent: Kritische Upload-Lücke erlaubt die Komplettübernahme