Nach Angaben von Google übersteigen die 1.072 in Chrome 149 und 150 beseitigten Sicherheitsfehler bereits die Gesamtzahl der Schwachstellen, die das Unternehmen in den 23 vorherigen Chrome-Meilensteinen zusammen behoben hatte. Mit Chrome 151 kamen nun weitere 370 Korrekturen hinzu. 349 dieser Fehler wurden laut Google vom Unternehmen selbst gemeldet.
Zu den besonders schwerwiegenden Fällen zählt eine kritische Sandbox-Flucht in der Navigation-Komponente von Chrome. Die als CVE-2026-3545 geführte Lücke mit einem CVSS-Wert von 9,6 hätte sich missbrauchen lassen, um den Browser zum Lesen lokaler Dateien vom System eines Nutzers zu verleiten. Google hatte den Fehler bereits früher in diesem März behoben. Nach Angaben des Unternehmens wurde die Schwachstelle mit einer Agenten-Testumgebung entdeckt, die auf Gemini-Modelle zurückgreift; im Quellcode blieb sie demnach mehr als 13 Jahre unentdeckt.
Den starken Anstieg bei neu entdeckten Schwachstellen ordnet der Quelltext in einen breiteren Trend ein. Große Sprachmodelle beschleunigten die Fehlersuche so stark, dass neue Meldungen in nie dagewesenem Umfang eingehen und Probleme teils schneller markiert würden, als Unternehmen sie beheben könnten. Als Beleg werden Zahlen der U.S. National Vulnerabilities Database genannt: Für 2026 sind dort bislang 46.872 Schwachstellen verzeichnet, nahezu so viele wie die 49.920 Einträge des gesamten Vorjahres.
Google passt deshalb seinen Release-Prozess an. Das Unternehmen befindet sich nach eigenen Angaben im Übergang zu einem Zwei-Wochen-Takt für große Chrome-Meilensteine und veröffentlicht daneben wöchentliche Sicherheitsupdates. Zusätzlich erprobe man zwei Sicherheitsveröffentlichungen pro Woche, um auf „schnelllebige, KI-gestützte Angriffe“ zu reagieren. Zugleich betont Google, dass die öffentliche Offenlegung weiter Vorrang habe: Jeder Sicherheitsfehler, der den stabilen Chrome-Kanal erreiche, werde unabhängig von interner oder externer Entdeckung öffentlich dokumentiert und offengelegt.
Um manuelle Engpässe zu verringern, arbeitet Google nach eigenen Angaben daran, Release-Notes und CVE-Beschreibungen automatisiert aus Sicherheitskorrekturen zu erzeugen. Das soll die Zeitspanne zwischen der Entdeckung einer Lücke und ihrer öffentlichen Offenlegung verkürzen.
Parallel prüft das Unternehmen Verfahren, um Patches dynamisch einzuspielen, ohne dass Chrome neu gestartet werden muss. Falls ein Neustart doch erforderlich ist, soll eine nahtlose Wiederherstellung der Sitzung Verzögerungen für Nutzer vermeiden. Google erklärt, dass bei diesem dynamischen Patchen dank der Mehrprozess-Architektur von Chrome Hintergrund-Kindprozesse wie Renderer und GPU laufend durch aktualisierte Binärdateien ersetzt werden können.
Ein konkretes Beispiel nennt Google für Chrome 150 auf macOS: Dort nutze der Browser nun den Umstand, dass Anwendungen typischerweise im Hintergrund weiterlaufen, selbst wenn alle Fenster geschlossen sind. Erkennt Chrome in diesem fensterlosen Zustand ein ausstehendes Update, startet sich der Browser nun automatisch neu.
Darüber hinaus will Google ganze Fehlerklassen aus Chrome zurückdrängen. Genannt werden Use-after-free-Probleme, Out-of-bounds-Schwächen und allgemeine Speicherfehler. Dafür will das Unternehmen die Laufzeitumgebung gegen Altlasten aus C++ härten, stärker auf speichersichere Sprachen wie Rust setzen und die oberste Benutzeroberfläche des Browsers mit HTML, CSS und TypeScript umsetzen, um Abhängigkeiten von klassischen C++-Frameworks weiter zu verringern. Auch Drittanbieter-Abhängigkeiten von Chrome sollen vollständig in automatisierte Update-Pipelines überführt werden, damit sie aktuell bleiben.