Der Kern des jüngsten Chrome-Updates ist eine Schwachstelle, die Angreifer bereits einsetzen. CVE-2026-87491 betrifft V8, die JavaScript- und WebAssembly-Engine des Browsers, und wird als Out-of-bounds-Schreibzugriff beschrieben. Ein CVSS-Wert liegt nicht vor; Google stuft die Lücke als mittelschwer ein.
Die Beschreibung in der NVD des NIST ist präzise: Ein Out-of-bounds-Schreibzugriff in V8 erlaubte einem entfernten Angreifer in Chrome-Versionen vor 153.0.8010.36, über eine präparierte HTML-Seite beliebigen Code innerhalb der Sandbox auszuführen.
Gemeldet hat den Fehler der Sicherheitsforscher Jihyeon Jeong vom Compsec Lab der Seoul National University am 6. August 2026. Für die verantwortungsvolle Offenlegung erhielt er eine Prämie von 2.500 US-Dollar.
Google erklärte lediglich, man sei sich bewusst, dass ein Exploit für CVE-2026-87491 in freier Wildbahn existiere. Weitere Details zur Ausnutzung in realen Angriffen oder zu den Hintermännern nannte das Unternehmen nicht. Zur Begründung verweist Google auf die übliche Praxis: Der Zugang zu Fehlerdetails und Verweisen könne beschränkt bleiben, bis die Mehrheit der Nutzer den Fix installiert habe. Beschränkungen blieben zudem bestehen, wenn der Fehler in einer Drittanbieter-Bibliothek stecke, von der andere Projekte ebenfalls abhängen und die noch nicht behoben sei.
Mit diesem Patch hat Google seit Jahresbeginn insgesamt sieben aktiv ausgenutzte Chrome-Zero-Days geschlossen. Zu den zuvor behobenen zählen CVE-2026-2441, CVE-2026-3909, CVE-2026-3910, CVE-2026-5281, CVE-2026-11645 und CVE-2026-85046.
Neben der angegriffenen V8-Lücke behebt die Aktualisierung fünf kritische Schwachstellen in den Komponenten WebGL und Cast. Von den insgesamt 230 behobenen Fehlern hat Google nach eigenen Angaben 195 selbst gemeldet. Eine als hoch eingestufte Use-after-free-Lücke in WebPackaging (CVE-2026-87639) wird OpenAI Codex Security zugeschrieben.
Zur eigenen Fehlersuche erklärte das Unternehmen, viele der Sicherheitsfehler würden mit AddressSanitizer, MemorySanitizer, UndefinedBehaviorSanitizer, Control Flow Integrity, libFuzzer oder AFL entdeckt.
Nutzer sollten Chrome auf die Versionen 153.0.8010.36/.37 für Windows und Apple macOS beziehungsweise 153.0.8010.36 für Linux aktualisieren. Ob die Installation aktuell ist, lässt sich über das Menü unter „Mehr“ > „Hilfe“ > „Über Google Chrome“ prüfen; anschließend startet „Neu starten“ den Browser mit dem Update.
Auch Anwender anderer Chromium-basierter Browser wie Microsoft Edge, Brave, Opera und Vivaldi sollten die entsprechenden Korrekturen einspielen, sobald diese verfügbar sind.