Google hat Updates veröffentlicht, um zwei hochriskante Zero-Day-Schwachstellen im Chrome-Browser zu schließen, die bereits in freier Wildbahn ausgenutzt werden.
Die Schwachstellen betreffen kritische Komponenten, die für die Darstellung von Webinhalten und die Ausführung von JavaScript zuständig sind, und könnten es Angreifern ermöglichen, den Browser zum Absturz zu bringen oder Schadcode auf verwundbaren Systemen auszuführen.
Eine der Schwachstellen, CVE-2026-3909, ermöglicht „… einem entfernten Angreifer, über eine speziell präparierte HTML-Seite außerhalb der vorgesehenen Grenzen auf den Speicher zuzugreifen“, so CVE.org in seinem Hinweis.
Die Chrome-Zero-Day-Exploits im Detail
Die erste Schwachstelle, CVE-2026-3909, ist ein Fehler beim Schreiben außerhalb der vorgesehenen Speichergrenzen in Skia, der Open-Source-Grafikbibliothek, die Chrome zur Darstellung von Webseiten, Bildern und verschiedenen Elementen der Benutzeroberfläche verwendet.
Schwachstellen beim Schreiben außerhalb der vorgesehenen Speichergrenzen treten auf, wenn Software Daten über die Grenzen zugewiesener Speicherpuffer hinaus schreibt. Dadurch können benachbarte Speicherstrukturen beschädigt und die normale Programmausführung verändert werden.
Da Browser kontinuierlich komplexe Inhalte aus nicht vertrauenswürdigen Quellen wie Webseiten, Bildern und eingebetteten Medien verarbeiten, könnte ein Angreifer speziell präparierte Webinhalte erstellen, die die Schwachstelle auslösen.
Bei erfolgreicher Ausnutzung könnte die Schwachstelle den Browser zum Absturz bringen oder es Angreifern ermöglichen, beliebigen Code innerhalb der Browserumgebung auszuführen.
In fortgeschritteneren Angriffsketten können Speicherfehler wie dieser außerdem genutzt werden, um die Sandbox-Schutzmechanismen des Browsers zu umgehen und sich tieferen Zugriff auf das zugrunde liegende System zu verschaffen.
CVE-2026-3910
Die zweite Schwachstelle, CVE-2026-3910, betrifft Chromes V8-Engine, die für die Ausführung des von Websites und Webanwendungen verwendeten JavaScript- und WebAssembly-Codes zuständig ist.
Das Problem wurde als Schwachstelle aufgrund einer fehlerhaften Implementierung beschrieben. Dies deutet darauf hin, dass bestimmte interne Abläufe der Engine bestimmte Bedingungen oder Eingaben möglicherweise nicht korrekt verarbeiten.
Bei einer Ausnutzung könnte die Schwachstelle es bösartigen Webinhalten ermöglichen, das Verhalten des Browsers zu manipulieren, Speicherfehler auszulösen oder möglicherweise von Angreifern kontrollierten Code auszuführen.
Google bestätigte, dass beide Schwachstellen aktiv in freier Wildbahn ausgenutzt werden, und veröffentlichte Patches, hielt sich jedoch mit technischen Details zu den Angriffen zurück.
So lassen sich Browser-Sicherheitsrisiken reduzieren
Da Browser als wichtiges Tor zu Webanwendungen und externen Inhalten dienen, sind sie ein häufiges Einfallstor für Angreifer, die es auf Unternehmensumgebungen abgesehen haben.
Die folgenden Maßnahmen können Unternehmen dabei helfen, die Browsersicherheit zu stärken und zugleich ihre Fähigkeit zu verbessern, potenzielle Bedrohungen zu erkennen und darauf zu reagieren.
- Chrome auf die neueste Version aktualisieren und die Bereitstellung auf allen Endpunkten mithilfe von Patch-Management-Tools überprüfen.
- Technologien zur Browser-Isolierung oder Sandbox-Ausführung für Aktivitäten mit hohem Browsing-Risiko implementieren um die Auswirkungen potenzieller Browser-Exploits zu reduzieren.
- Überwachen Sie EDR/XDR-Tools auf ungewöhnliches Browserverhalten, verdächtige Skriptausführung oder ungewöhnliche Abstürze, die auf Ausnutzungsversuche hindeuten könnten.
- Aktivitäten mit hohem Browsing-Risiko auf privilegierten oder administrativen Systemen beschränken um die Angriffsfläche für browserbasierte Angriffe zu reduzieren.
- Zugriffe nach dem Prinzip der geringsten Privilegien durchsetzen und Anwendungskontrollen anwenden oder Schutzmaßnahmen zur Exploit-Abwehr einsetzen, um die Auswirkungen einer erfolgreichen Ausnutzung zu begrenzen.
- Browser-Erweiterungen kontrollieren oder beschränken und Netzwerkfilter verwenden oder sichere Web-Gateways einsetzen, um bösartige Domains und Websites mit Exploits zu blockieren.
- Testen Sie Incident-Response-Pläne und nutzen Sie Angriffssimulationstools mit browserbasierten Angriffsszenarien.
In ihrer Gesamtheit tragen diese Schritte dazu bei, die potenzielle Reichweite browserbasierter Angriffe zu begrenzen und zugleich die Widerstandsfähigkeit von Unternehmen gegenüber Ausnutzungsversuchen zu erhöhen.
Die wachsende Angriffsfläche von Browsern
Die aktive Ausnutzung dieser Schwachstellen unterstreicht, dass Webbrowser in Unternehmensumgebungen weiterhin eine relevante Angriffsfläche darstellen.
Da Browser zunehmend als zentrale Schnittstelle für SaaS-Anwendungen, Kollaborationsplattformen und Cloud-Workflows dienen, können Schwachstellen in zentralen Browserkomponenten Angreifern Möglichkeiten verschaffen, sich erstmals Zugriff zu verschaffen.
Akteure hinter Bedrohungen nehmen häufig Rendering-Engines und JavaScript-Laufzeitumgebungen ins Visier, weil diese komplexe Inhalte aus nicht vertrauenswürdigen Quellen verarbeiten und auf zahlreichen Unternehmensendpunkten vorhanden sind.
Dies ist ein Grund dafür, dass Unternehmen zunehmend Zero-Trust-Lösungeneinführen, um den Zugriff besser zu kontrollieren und die Auswirkungen kompromittierter Endpunkte zu begrenzen.