Chrom unter der Lupe: wie CVE-2026-0628 Erweiterungen erlaubt, um Dateien zu spionieren und die Kamera mit Gemini Live aktivieren

Anfang Januar 2026 Google korrigierte eine Sicherheitslücke, die es Sicherheitsforschern ermöglicht, ihre Privilegien zu erhöhen und lokale Dateien und Benutzergeräte zuzugreifen. Das Problem, aufgezeichnet als CVE-2026-0628 und mit einem hohen CVSS-Score (8.8) bewertet, es beeinflusste die Art, wie Chrome behandelt die WebView-Komponente des neuen integrierten IA-Panel, bekannt als Gemini Live. Das Update mit der Korrektur wurde in den Versionen 143.0.7499.192 / .193 für Windows und Mac und in 143.0.7499.192 für Linux veröffentlicht; die Mitteilung ist auf dem offiziellen Chrome-Update-Blog verfügbar: Chrome Releases - Stable Channel Update (Januar 2026).

Die öffentliche Aufzeichnung der Schwachstelle in der NIST-Datenbank erklärt, dass die Wurzel des Ausfalls ein unzureichende Umsetzung von Richtlinien auf dem WebView-Label, die es einfacher für eine manipulierte Erweiterung, HTML oder Skripte in eine Seite mit Privilegien injizieren. Hier können Sie die Spezifikation der National Vulnerability Database überprüfen: CVE-2026-0628 in NVD.

Der Nachweis war die Arbeit von Gal Weizman, einem Forscher der Unit 42 von Palo Alto Networks, der das Urteil im November 2025 berichtete. In seiner Analyse zeigt Weizman, wie eine Erweiterung mit scheinbar grundlegenden Berechtigungen - zum Beispiel, aktiviert durch die API declarationNetRequest, verwendet von vielen Anzeigenblockern - könnte beeinflussen Geminis Panel und führen Code in einem Kontext, der normalerweise zuverlässiger wäre. In der Einheit 42 werden die Technik und die damit verbundenen Risiken beschrieben: Gemini Live in Chrome Hijacking.

Was bedeutet das in der Praxis? Durch die Nutzung der Lücke könnte eine manipulierte Erweiterung den Browser dazu zwingen, die Gemini-Anwendung aus der Google-Domain mit dem offenen Panel zu laden und von dort aus auf privilegierte Ressourcen zuzugreifen. Unter den potenziell erzielbaren Aktionen eines Angreifers waren die Aktivierung der Kamera und des Mikrofons ohne ausdrückliche Genehmigung, die Erfassung von offenen Seiten-Bildschirmen und das Lesen von lokalen Dateien. Mit anderen Worten, Fähigkeiten, die für den Assistenten zur Durchführung komplexer Aufgaben entwickelt wurden, könnten Mittel zum Missbrauch werden.

Über den technischen Vorfall hinaus stellt der Fall auf der Tabelle ein breiteres Dilemma: durch die Integration künstlicher Intelligenz Agenten direkt in den Browser, um Echtzeit-Zusammenfassungen, Übersetzung oder Ausführung automatisierter Aktionen anzubieten, geben Entwickler diese Funktionen tieferen Zugriff auf die Navigationsumgebung. Ein solcher Zugriff, der für das Dienstprogramm erforderlich ist, kann eine Schwachstelle werden, wenn ein Angreifer den Benutzer erhält, schädliche Inhalte zu laufen oder zu laden, die versteckte Anweisungen für den IA-Agent enthalten.

Ein zusätzliches Risiko von Forschern ist die Möglichkeit, persistente "propps"-Injektion. Das heißt, eine bösartige Website kann nicht nur einen rechtzeitigen Auftrag an den Agenten geben, sondern auch versuchen, Anweisungen in seinem langfristigen Speicher zu halten - eine Technik, die Unit 42 in einer Analyse erforscht, wie indirekte sofortige Injektionsangriffe die Erinnerung an ein Modell vergiften können -: Indirekte sofortige Injektionsgifte AI Langzeitgedächtnis. Wenn ein Agent solche Anweisungen behält, könnte die Exposition in nachfolgenden Sitzungen wiederholt werden.

Die Risiken, die mit der Hinzufügung eines IA-Panels wieder auftauchen, sind im Wesentlichen nicht neu: die klassischen Browser-Sicherheitsprobleme - XSS, Privileg Klettern und Seitenkanäle - erscheinen wieder, wenn eine neue High-Privileg-Komponente innerhalb des gleichen Prozesses oder Kontexts wie der Browser montiert wird. Weizman und sein Team warnen, dass die Platzierung von IA-Funktionalitäten in einem privilegierten Kontext logische Fehler und schwache Implementierungen einführen kann, von denen eine Website oder eine eingeschränkte Erweiterung profitieren könnte.

Für Benutzer ist die Lektion klar: die Aktualisierung des Browsers ist die erste und effektivste Verteidigung. Google bereits veröffentlicht die entsprechenden Patch und stabile Versionen umfassen Korrektur, so Überprüfung und Anwendung von Chrome-Updates sollte eine Priorität sein. Darüber hinaus ist es angezeigt, die installierten Erweiterungen zu überprüfen und auf diejenigen aus zuverlässigen Quellen mit Genehmigungen entsprechend ihrer Funktion zu beschränken.

Erweiterungen Entwickler und Browser-Manager haben auch Arbeit vor ihnen. Es ist notwendig, die Privileg-Modelle neu zu bewerten, die Isolationsrichtlinien zwischen Komponenten zu verschärfen und die APIs zu überprüfen, die Erweiterungen erlauben, den Web-Verkehr abzufangen und zu ändern - die gleiche Kapazität, die es für viele Ad-Blocker nützlich macht kann bösartig verwendet werden, wenn es keine richtigen Kontrollen -. Google veröffentlichte Informationen über die Integration von Gemini in Chrome, als es diese Funktionen präsentierte; für Kontext und Details, wie die IA in den Browser integriert wurde, siehe: Neue IA-Funktionen für Chrome - Google Blog und die Hilfeseite auf dem Gemini Live Panel: Chrome Support: Gemini Live.

Dieser Vorfall sollte als Erinnerung daran gelesen werden, dass die Bequemlichkeit und Leistungsfähigkeit der IA, die in tägliche Anwendungen integriert ist, von einer erweiterten Angriffsfläche begleitet wird. Die Fähigkeiten, die es dem Assistenten ermöglichen, komplexe Aktionsketten auszuführen, sind genau diejenigen, die in den falschen Händen die Datenexfiltration oder Codeausführung durchführen lassen. Sicherheit muss sich auf die Funktionalitätsrate entwickeln: sowohl in der Browser-Architektur als auch in der Risikobewertung mit Komponenten mit Privilegien.

Wenn Sie vertiefen möchten, wie Erweiterungen funktionieren und welche Berechtigungen existieren, und die besten Praktiken für ihre sichere Entwicklung kennen, bietet die Dokumentation für Chrome-Entwickler Anleitungen und Empfehlungen: Sicherheit für Erweiterungen in Chrome. Kurz gesagt, die Kombination von zeitnahen Updates, Vorsicht bei der Installation von Erweiterungen und ein bewusstes Sicherheitsdesign von Lieferanten ist, was die Wahrscheinlichkeit, dass Probleme wie CVE-2026-0628 großflächige Vorfälle werden reduzieren wird.