Google Chrome: Zero-Day CVE-2026-87491 wird aktiv ausgenutzt

Google hat mit Chrome 153 eine aktiv ausgenutzte Zero-Day-Lücke in der V8-Engine geschlossen. CVE-2026-87491 betrifft Windows, macOS und Linux und sollte zeitnah gepatcht werden.

Google Chrome Zero-Day – was über CVE-2026-87491 bekannt ist

Google hat am 8. September 2026 Chrome 153 für Windows, macOS und Linux veröffentlicht. Das Update enthält insgesamt 230 Sicherheitskorrekturen. Eine davon ist besonders relevant: CVE-2026-87491 wird nach Angaben von Google bereits aktiv ausgenutzt.

Die Schwachstelle befindet sich in V8. Dabei handelt es sich um die JavaScript- und WebAssembly-Engine von Chrome und anderen Chromium-basierten Browsern.

Google macht zu den beobachteten Angriffen bislang keine näheren Angaben. Das ist bei aktiv ausgenutzten Schwachstellen nicht ungewöhnlich. Technische Details werden häufig zunächst zurückgehalten, damit Angreifer nicht zusätzliche Informationen erhalten, bevor ein großer Teil der Nutzer das Update installiert hat.

Die wichtigsten Daten im Überblick:

Interessant ist dabei die Einstufung. Google führt CVE-2026-87491 in seinen Release Notes als Sicherheitsproblem mittlerer Schwere. Gleichzeitig bestätigt das Unternehmen, dass bereits ein Exploit “in the wild” existiert.

Für die praktische Entscheidung, ob ein Update installiert werden sollte, ist die aktive Ausnutzung deshalb relevanter als die reine Einstufung.

Was bedeutet ein Out-of-Bounds-Write?

Bei CVE-2026-87491 handelt es sich um einen sogenannten Out-of-Bounds-Write. Vereinfacht gesagt kann Software dabei Daten außerhalb eines dafür vorgesehenen Speicherbereichs schreiben.

Das kann Speicherstrukturen beschädigen und zu Abstürzen führen. Unter geeigneten Bedingungen können solche Fehler auch genutzt werden, um den Programmablauf zu beeinflussen.

Im konkreten Fall liegt die Schwachstelle in V8. Da V8 JavaScript verarbeitet, kann eine entsprechend präparierte Webseite grundsätzlich einen möglichen Angriffsweg darstellen.

BleepingComputer berichtet, dass eine erfolgreiche Ausnutzung unter anderem die Ausführung von Code innerhalb der Browser-Sandbox ermöglichen könne. Google selbst veröffentlicht derzeit allerdings noch keine detaillierte technische Beschreibung des verwendeten Exploits.

Das ist eine wichtige Unterscheidung: Dass eine Sicherheitslücke aktiv ausgenutzt wird, ist bestätigt. Wie die derzeit beobachteten Angriffe genau funktionieren und gegen wen sie eingesetzt werden, ist öffentlich noch nicht bekannt.

Chrome 153 installieren – so prüfst du deine Version

Chrome aktualisiert sich normalerweise automatisch. Das Update wird allerdings häufig erst nach einem Neustart des Browsers vollständig aktiviert.

Wer nicht darauf warten möchte, kann die installierte Version direkt überprüfen:

1. Chrome öffnen.
2. Im Menü “Hilfe” auswählen.
3. “Über Google Chrome” öffnen.
4. Chrome nach Updates suchen lassen.
5. Den Browser anschließend neu starten.

Alternativ führt die interne Adresse chrome://settings/help direkt zur Versionsprüfung.

Google verteilt Chrome 153 schrittweise. Laut den offiziellen Release Notes kann der Rollout mehrere Tage oder Wochen dauern. Ein manueller Check kann das Update trotzdem bereits verfügbar machen.

Nach der Aktualisierung sollte auf Windows und macOS Chrome 153.0.8010.36 beziehungsweise 153.0.8010.37 oder neuer installiert sein. Für Linux nennt Google Version 153.0.8010.36.

Bereits der siebte aktiv ausgenutzte Chrome Zero-Day 2026

CVE-2026-87491 ist nicht die erste Chrome-Schwachstelle, die Angreifer in diesem Jahr bereits vor oder während der Bereitstellung eines Patches ausgenutzt haben.

Google hat 2026 bislang sieben entsprechende Sicherheitslücken bestätigt:

1. CVE-2026-2441 im CSS-Bereich
2. CVE-2026-3910 in V8
3. CVE-2026-3909 in der Grafikbibliothek Skia
4. CVE-2026-5281 in Dawn
5. CVE-2026-11645 in V8
6. CVE-2026-85046 in V8
7. CVE-2026-87491 in V8

Auffällig ist dabei, dass vier der sieben Schwachstellen die V8-Engine betreffen.

Das bedeutet nicht zwangsläufig, dass V8 grundsätzlich unsicherer als andere Chrome-Komponenten ist. Die Engine verarbeitet jedoch komplexen und nicht vertrauenswürdigen Code aus Webseiten. Gleichzeitig ist sie ein attraktives Angriffsziel, weil JavaScript praktisch auf jeder modernen Webseite ausgeführt wird.

Auch andere Chromium-Browser prüfen

V8 ist kein exklusiver Bestandteil von Google Chrome. Die Engine ist Teil des Chromium-Projekts, auf dem auch mehrere andere verbreitete Browser basieren.

Dazu gehören beispielsweise Microsoft Edge, Brave, Opera und Vivaldi.

Eine Schwachstelle in Chromium bedeutet allerdings nicht automatisch, dass jede Version jedes Chromium-Browsers gleichermaßen betroffen ist. Hersteller integrieren Chromium-Updates zu unterschiedlichen Zeitpunkten und können zusätzliche Änderungen vornehmen.

Wer einen Chromium-basierten Browser verwendet, sollte deshalb auch dort nach verfügbaren Aktualisierungen suchen.

Warum ein Chrome-Neustart wichtig ist

Ein häufiger praktischer Punkt bei Chrome-Updates wird leicht übersehen: Das Herunterladen einer neuen Version alleine reicht nicht immer.

Chrome kann ein Update bereits im Hintergrund installiert haben, während die laufenden Browser-Prozesse weiterhin auf der alten Version basieren. Erst nach einem Neustart wird die aktualisierte Version vollständig geladen.

Gerade bei aktiv ausgenutzten Sicherheitslücken lohnt es sich deshalb, den Browser nicht über Tage mit einem ausstehenden Neustart geöffnet zu lassen.

Welche Version tatsächlich läuft, lässt sich jederzeit unter chrome://settings/help überprüfen.

Chrome aktualisieren statt auf weitere Details zu warten

Zu CVE-2026-87491 sind derzeit noch viele Fragen offen. Google nennt weder die Angreifer noch die Ziele der beobachteten Attacken und beschreibt auch den verwendeten Exploit nicht näher.

Für Chrome-Nutzer ändert das an der praktischen Konsequenz wenig.

Die Sicherheitslücke ist bestätigt, ein Exploit wird bereits eingesetzt und eine korrigierte Chrome-Version steht zur Verfügung. Wer Chrome unter Windows, macOS oder Linux verwendet, sollte deshalb prüfen, ob Chrome 153 installiert ist, und einen eventuell ausstehenden Browser-Neustart durchführen.

Gerade bei Computer-Sicherheit sind automatische Updates eine der unspektakulärsten, aber gleichzeitig wirkungsvollsten Schutzmaßnahmen. In diesem Fall gibt es einen zusätzlichen Grund, nicht unnötig lange mit dem Update zu warten.