Die Schwachstelle mit der Kennung CVE-2026-87491 betrifft die V8-Engine, die in Chrome JavaScript und WebAssembly ausführt. Ursache ist ein Schreibvorgang außerhalb der zulässigen Speichergrenzen (Out-of-bounds Write). Angreifer können die Lücke aus der Ferne über präparierte HTML-Seiten ansprechen und darüber beliebigen Code innerhalb der Browser-Sandbox ausführen.
Darüber hinaus erlaubt eine erfolgreiche Ausnutzung den Zugriff auf Speicherbereiche jenseits des eigentlichen Puffers. Über die dabei entstehende Heap-Korruption können vertrauliche Daten offengelegt werden, ebenso ist ein Absturz des Browsers möglich.
Entdeckt und an Google gemeldet wurde die Lücke von Jihyeon Jeong, Forschungspraktikantin am Compsec Lab der Seoul National University. Zwei Tage nach der Meldung begann Google mit der Verteilung der abgesicherten Versionen im Stable-Desktop-Kanal: 153.0.8010.36 für Windows und Linux, 153.0.8010.37 für macOS.
Nach Angaben des Unternehmens kann es Tage oder Wochen dauern, bis das Update alle Chrome-Nutzer weltweit erreicht. Bei einer Prüfung durch BleepingComputer stand es allerdings bereits sofort bereit. Wer nicht manuell aktualisieren möchte, kann sich darauf verlassen, dass Chrome selbstständig nach Updates sucht und diese beim nächsten Start installiert.
Zu den Angriffen selbst hält sich Google bislang bedeckt. Bestätigt ist lediglich, dass Exploits in freier Wildbahn beobachtet wurden. Wie üblich verweist das Unternehmen auf seine Informationspolitik: „Der Zugang zu Fehlerdetails und Verweisen kann eingeschränkt bleiben, bis die Mehrheit der Nutzer ein Update mit dem Fix erhalten hat." Beschränkungen blieben zudem bestehen, wenn der Fehler in einer Bibliothek eines Drittanbieters liege, von der weitere Projekte abhängen, die ihn noch nicht behoben hätten.
Damit setzt sich eine Serie fort: Seit Jahresbeginn hat Google fünf weitere aktiv ausgenutzte Zero-Day-Lücken in Chrome geschlossen. Im Jahr 2025 kamen acht in freier Wildbahn ausgenutzte Zero-Days hinzu, von denen viele durch die eigene Threat Analysis Group (TAG) gemeldet wurden – jene Einheit, die dafür bekannt ist, Zero-Day-Exploits im Umfeld von Spyware-Angriffen zu verfolgen.
Das Gesamtpaket des Dienstags-Updates umfasst 230 behobene Schwachstellen. Nutzer sollten die installierte Chrome-Version prüfen und, falls noch nicht erfolgt, die Aktualisierung anstoßen, da für die Lücke bereits funktionierender Angriffscode im Umlauf ist.