Mit Chrome 153 hat Google 42 Sicherheitsmängel beseitigt. Drei davon tragen die Einstufung „kritisch“: CVE-2026-91726, ein Lesezugriff außerhalb der zulässigen Speichergrenzen in WebGL, sowie CVE-2026-91721 und CVE-2026-91749 — zwei Use-after-free-Fehler in den Komponenten Internals beziehungsweise Workers.
Hinzu kommen 28 Schwachstellen mit hohem Schweregrad. Dabei handelt es sich laut Google um weitere Use-after-free-Fehler, Wettlaufsituationen (Race Conditions), Typverwechslungen, einen Ganzzahlüberlauf, fehlerhafte Autorisierungsprüfungen und nicht initialisierte Ressourcen.
16 der behobenen Schwachstellen gehen auf Meldungen externer Forscher zurück. Google hat bislang die Höhe von 14 der ausgezahlten Bug-Bounty-Prämien nicht offengelegt; lediglich zwei Belohnungen mit einer Gesamtsumme von 2.500 US-Dollar sind bekannt.
Die neue Version wird als Chrome 153.0.8010.47/.48 für Windows und macOS sowie als 153.0.8010.47 für Linux verteilt.
Mozilla wiederum hat Firefox 156 veröffentlicht und darin 73 Schwachstellen korrigiert, darunter 29 mit hohem Schweregrad. Den größten Anteil machen Use-after-free-Fehler und Möglichkeiten zur Rechteausweitung aus. Daneben behebt das Update Ausbrüche aus der Sandbox, Probleme bei der Seitenisolation (Site Isolation), eine fehlerhafte Grenzwertbedingung sowie die Umgehung von Schutzmechanismen.
Die ungewöhnlich große Zahl an CVE-Nummern erklärt sich aus einer geänderten Praxis: Während Mozilla in früheren Sicherheitshinweisen intern entdeckte Speicherfehler gebündelt unter einer einzigen CVE führte, wird in dieser Veröffentlichung jeder einzelne Fehler eigens aufgeführt.
Ein erheblicher Teil dieser Probleme betrifft auch andere Mozilla-Produkte und wurde parallel behoben: in Thunderbird 156 und 140.16 sowie in den Langzeitzweigen Firefox ESR 153.3, 140.16 und 115.41.
Weder Google noch Mozilla nennen Hinweise darauf, dass eine der nun geschlossenen Lücken bereits in freier Wildbahn ausgenutzt wurde. Anwendern wird empfohlen, die Aktualisierungen so bald wie möglich einzuspielen.