Google hat für den Chrome-Browser ein Sicherheitsupdate veröffentlicht, das zwölf Schwachstellen beseitigt. Im Mittelpunkt steht CVE-2026-85046, eine hochgradig kritische Type-Confusion-Schwachstelle in der V8-Engine, die JavaScript und WebAssembly im Browser ausführt. Google bestätigt in seiner Mitteilung, dass für diese Lücke bereits ein Exploit in freier Wildbahn existiert.
Entdeckt und gemeldet wurde der Fehler von dem Forscher Salvatore Gulizia. Google honorierte den Fund mit einer Bug-Bounty-Prämie von 1.000 US-Dollar. Technische Einzelheiten zu der Schwachstelle hält der Konzern bislang zurück – ein übliches Vorgehen, solange ein großer Teil der Nutzerbasis das Update noch nicht installiert hat.
Type-Confusion-Fehler zählen zu den Speicherkorruptionsproblemen. Sie können zu Abstürzen, zur Ausführung von Schadcode aus der Ferne und zu weiterem schädlichem Verhalten führen. Bei Lücken dieser Art in der V8-Engine ist es Angreifern typischerweise möglich, über präparierte HTML-Seiten Lese- und Schreiboperationen aus der Ferne auszuführen.
Mit CVE-2026-85046 ist es der sechste Chrome-Zero-Day, den Google im laufenden Jahr 2026 geschlossen hat. Zuvor hatte das Unternehmen bereits die Schwachstellen CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281 und CVE-2026-11645 gepatcht.
Behoben ist der Fehler in den Chrome-Versionen 152.0.7977.82 und .83 für Windows und macOS sowie in Version 152.0.7977.82 für Linux. Nutzer sollten prüfen, ob ihre Installation auf dem entsprechenden Stand ist.
Über den Zero-Day hinaus stopft das Update neun weitere Sicherheitslücken mit hoher Einstufung. Darunter finden sich Lese- und Schreibzugriffe außerhalb der vorgesehenen Speichergrenzen, unvollständige Bereinigung, Use-after-free-Fehler, eine Race Condition, eine unsachgemäße Offenlegung von Ressourcen sowie weitere Type-Confusion-Probleme. Drei dieser Meldungen stammen von externen Sicherheitsforschern.
Zusätzlich hat Google zwei Schwachstellen mittleren Schweregrads korrigiert: eine unzureichende Eingabevalidierung und einen weiteren Use-after-free-Fehler.