Mit Chrome 148 hat Google nach eigenen Angaben am Mittwoch die stabile Version des Browsers freigegeben. Das Update bündelt 127 Sicherheitskorrekturen, von denen drei kritische Schwachstellen betreffen.

Im Mittelpunkt steht ein Integer-Overflow in der Rendering-Engine Blink mit der Kennung CVE-2026-7896. Laut Googles Sicherheitsmeldung lässt sich darüber per präparierter HTML-Seite aus der Ferne eine Heap-Speicherbeschädigung auslösen. Der Melder dieser Lücke erhielt eine Prämie von 43.000 US-Dollar. Die beiden übrigen kritischen Fehler – CVE-2026-7897 und CVE-2026-7898 – sind Use-after-free-Schwachstellen in den Komponenten Mobile und Chromoting und wurden von Google selbst gefunden.

Darüber hinaus behebt Chrome 148 mehr als 30 als hoch eingestufte Schwachstellen. Der überwiegende Teil davon sind Use-after-free-Fehler, die unter anderem ANGLE, SVG, DOM, Fullscreen, Views, Aura, GPU, Skia, Passwords, ServiceWorker, Chromoting, WebRTC, die PresentationAPI und MediaRecording betreffen.

Die höchste Einzelprämie zahlte Google laut Sicherheitsmeldung für einen Lese- und Schreibfehler außerhalb der vorgesehenen Speichergrenzen in der JavaScript-Engine V8. Das Project WhatForLunch erhielt dafür 55.000 US-Dollar.

Zu den weiteren behobenen Schwachstellen hohen Schweregrads zählen ein Heap-Buffer-Overflow in ANGLE, ein Speicherzugriff außerhalb der Grenzen in V8, ein Lesefehler außerhalb der Grenzen in Fonts, Integer-Overflows in ANGLE und GPU, unzureichende Prüfung nicht vertrauenswürdiger Eingaben in Media, eine fehlerhafte Implementierung in ServiceWorker, unzureichende Durchsetzung von Richtlinien in DevTools, Typverwechslungen in Accessibility und Runtime, unzureichende Datenvalidierung in DevTools und InterestGroups, ein Schreibfehler außerhalb der Grenzen in Skia sowie die Verwendung nicht initialisierter Daten in Dawn.

Mehr als 60 der korrigierten Schwachstellen sind von mittlerem Schweregrad, die restlichen werden als geringfügig eingestuft. Der Großteil aller Lücken wurde von Google selbst entdeckt. Für die Funde externer Forscher zahlte das Unternehmen nach eigenen Angaben 138.000 US-Dollar an Prämien; der tatsächliche Gesamtbetrag dürfte höher liegen, da Google die Summen für viele der behobenen Probleme noch nicht offengelegt hat.

Die neue Version wird als 148.0.7778.96 für Linux sowie als 148.0.7778.96/97 für Windows und macOS verteilt.