Google repariert neun Schwachstellen in Chrome; CVE-2026-125350 bereits ausgenutzt

Google veröffentlichte am Montag Sicherheits-Updates für den Chrome-Browser, die neun Schwachstellen, einschließlich einer hohen Schwere Ausfall, dass das Unternehmen bestätigt wird aktiv in realen Umgebungen genutzt. Das Urteil wurde als CVE-2026-125350 wurde von Google als Typfehler beschriebengebrauchsfreiin der XML-Komponente des Browsers; ein anonymer Forscher warnte über das Problem am 6. November 2026 und Google-Staaten, um zu sein, dass es eine Explosion für CVE-2026-125350 in der Natur gibt." Die Chrome-Versionen, die das Problem korrigieren sind 157.0.8103.50 / .51 für Windows und macOS, und 157.0.8103.50 für Linux. (zu aktualisieren, öffnen Mehr > Hilfe Über Google Chrome und wählen Sie Reload).

Was wir sicher wissen: Google hat Patches gestartet, die neun Fehler lösen; einer von ihnen, CVE-2026-125350, ist ein nachfreier Benutzer in dem Code, der XML verarbeitet und wird in der Natur nach dem Unternehmen selbst ausgenutzt. Die Entdeckung wurde von einem anonymen Forscher am 6. November 2026 gemeldet und Google wendet die übliche Praxis an, technische Details einzuschränken, bis die meisten Nutzer die Vereinbarung erhalten haben. Darüber hinaus weist das Unternehmen darauf hin, dass dies innerhalb einer Reihe von Sicherheitslücken 2026 ausgenutzt wird; seit Anfang des Jahres hat es acht Cero-Tage aktiv ausgenutzt, mit CVE öffentlich von Google aufgeführt.

Was technisch mit einem Use-after@-@ in XML gemeint ist: agebrauchsfreiEs tritt auf, wenn das Programm bereits zum Speicher freigegeben wurde; das typische Ergebnis ist unvorhersehbares Verhalten, das zu Crash, Datenverfälschung oder willkürliche Codeausführung führen kann, wenn ein Angreifer in der Lage ist, den Inhalt dieses Speichers zu steuern. In diesem Fall liegt der Fehler innerhalb der XML-Verarbeitung, was darauf hindeutet, dass plausible Vektoren fehlerhafte XML-Dokumente, web-embedded payloads mit XML-Parsern oder Inhalte enthalten, die durch Erweiterungen oder Komponenten, die XML-Daten an die gefährdete Engine übergeben, manipuliert werden. Google hat jedoch nicht den genauen Bedienmechanismus oder Muster veröffentlicht, so dass der genaue Vektor bei aktiven Angriffen nicht öffentlich bestätigt wird.

Praktische Auswirkungen: wenn ein Angreifer diese Schwachstelle in einem nicht-patching-System erfolgreich ausnutzt, könnte es von der Codeausführung innerhalb des Chrome-Prozesses skalieren, um möglicherweise Code mit den Privilegien des Benutzers ausführen, die den Browser ausführen. Am besten ist das Ergebnis ein Prozessausfall und Verlust der Registerkarte oder Sitzung; schlimmstenfalls eine kompromittierte Ausrüstung, Datenverlust oder Brücke für andere Intrusionen in der Benutzerumgebung. Da Google bereits eine aktive Ausbeutung erkannt hat, ist das Risiko für Nutzer, die nicht aktualisieren, sofort.

Was ist nicht bestätigt: die Unterschrift hinter den Angriffen, die Kampagnenskala (Anzahl der Opfer) und der genaue Liefervektor (z.B. Schadseiten vs Anhänge) wurden nicht von Google offenbart. Das Unternehmen warnt auch, dass es die Offenlegungsbeschränkungen beibehalten wird, wenn die Verwundbarkeit in einer Drittbuchhandlung liegt, dass andere Projekte noch nicht gelöst sind; dass externe Einheit, falls vorhanden, nicht öffentlich spezifiziert wurde. Daher wäre jede Aussage über die spezifische Zuschreibung oder Technik, die in "Natur" verwendet wird, jetzt eine Schätzung.

Um die offiziellen Anzeigen auf Patches und technischen Details zu kontrastieren und zu folgen, können Sie die Kommunikation von Google auf Releases und Sicherheit im Chrome Releases-Blog überprüfen und die Dokumentation darüber unterstützen, wie Sie den Browser aktualisieren: https: / / chromerease.googleblog.com / und https: / / support.google.com / chrom / ansher / 95414. Es wird auch empfohlen, NVD für zukünftige CVE-Einträge zu überwachen: https: / / nvd.nist.gov /.

Spezifische Empfehlungen für private Nutzer: zuerst, aktualisieren Sie Chrome sofort auf die angegebene stabile Version (offene Mehr > Hilfe Über Google Chrome und lassen Sie den Browser relance). Überprüfen Sie die installierte Version in Chromer: / / Version. Zweitens, nach der Aktualisierung, starten Sie das System neu, wenn die Installation Prozess fordert. Drittens, aktivieren Sie das automatische Update, wenn nicht aktiviert und betrachten Sie die Aktivierung des verbesserten Schutzes in Chrome (Einstellungen > Datenschutz und Sicherheit > Google Services), um frühere Warnungen über Downloads und gefährliche Websites zu erhalten. Viertens, Limit-Exposition: Vermeiden Sie das Herunterladen oder Öffnen unbekannter XML-Dokumente oder Dateien und halten Sie Erweiterungen auf ein Minimum, Überprüfung der Berechtigungen und Herkunft jedes.

Empfehlungen für Sicherheitsmanager und Teams: Anzeige der Patch auf allen verwalteten Geräten so schnell wie möglich mit Ihren Patch-Management-Tools und Chrome Enterprise-Richtlinien. Es wertet das Update in Testumgebungen vor der Massenentfaltung, priorisiert jedoch die Beschleunigung des Rollouts beim aktiven Betriebszustand. Stärkung der Kompensatorsteuerungen: Anwendung der Website-Isolierung (Site-Isolierung), nicht genehmigte Erweiterungs-Blocking-Richtlinien und Inhalt / IPS-Blockungsfilter, die schädliche Belastungen erkennen können. Überprüfen Sie EDR / IDS-Datensätze, um verdächtige Aktivität in den Vor- und Post-Patch-Tagen zu identifizieren und Erkennungsregeln für gemeinsame Betriebsmuster (z.B. ungewöhnliche XML-Lasts für Browser-Prozesse) vorzubereiten.

Schließlich, erinnern Sie sich, dass die Lieferkette wichtig ist: Wenn Ihre Organisation Chromium-erzeugte Browser (Microsoft Edge, Brave, Opera, Vivaldi, etc.) verwendet, müssen Sie aufmerksam auf die Mitteilungen und Patches, die diese Lieferanten veröffentlichen; manchmal kommt die Anordnung spät mit Chrome. Google hat ausdrücklich daran erinnert, dass Chrome-basierte Browser auch Korrekturen anwenden sollten, wenn verfügbar.

Kurz gesagt, der CVE-2026-125350 Ausfall ist ein echtes und gegenwärtiges Risiko - von Google als ausgebeutet bestätigt -; die sofortige Verteidigung ist, das Update von Chrome verbreitet anzuwenden und zusätzliche Maßnahmen zur Minderung in hochrisikoreichen Umgebungen zu ergreifen, bis Telemetrie und forensische Analyse bestätigen, dass es keine Infektion. Beachten Sie die offiziellen Kommuniqués und die Veröffentlichung von Verpflichtungsindikatoren durch Lieferanten und Antwortteams.