Google hat einen weiteren Chrome-Speicherfehler behoben, den Angreifer bereits ausnutzten, womit die diesjährige Bilanz aktiv ausgenutzter Chrome-Zero-Days auf acht steigt. Das neueste Chrome-Zero-Day-Update 2026 folgt einem bekannten Muster: Eine Schwachstelle wird in freier Wildbahn ausgenutzt, Google liefert einen Patch aus, und Nutzer werden aufgefordert, zu aktualisieren und neu zu starten. Die Details des neuesten Fehlers sind in der uns vorliegenden Berichterstattung dünn, daher konzentriert sich dieser Beitrag darauf, was das Muster bedeutet und was Sie dagegen tun sollten.

Warum Chrome dieses Jahr immer wieder Zero-Days bekommt

Acht Zero-Days in einem einzigen Jahr sind viel für einen Browser, und die Zahl steigt weiter. Kurz zuvor haben wir darüber berichtet, wie Chrome 153 den siebten Zero-Day von 2026 gepatcht hat. Jetzt gibt es einen achten.

Der gemeinsame Nenner sind Speicherfehler. Chrome ist eine riesige Codebasis, die nicht vertrauenswürdige Inhalte von jeder Website verarbeitet, die Sie besuchen, und ein großer Teil davon ist in Sprachen geschrieben, in denen Fehler bei der Speicherverwaltung möglich sind. Wenn ein Fehler durchrutscht, kann er manchmal zu einer Waffe gemacht werden. Das macht den Browser zu einem ständigen Ziel.

Ein „Zero-Day“ bedeutet, dass Angreifer zuerst da waren. Der Hersteller hatte keinen Patch verfügbar, als die Ausnutzung begann, es gab also kein Zeitfenster, in dem Nutzer sich durch ein Update hätten schützen können. Deshalb ist der Fix, sobald er existiert, so wichtig.

Was Angreifer mit einem ausgenutzten Speicherfehler tun können

Speichersicherheitsfehler ermöglichen es einem Angreifer typischerweise, den Browser dazu zu bringen, sich so zu verhalten, wie es seine Entwickler nie beabsichtigt haben. In der Praxis kann das bedeuten, dass auf Ihrem Gerät bösartiger Code ausgeführt wird, nachdem Sie lediglich eine präparierte Seite besucht haben. Die genauen Möglichkeiten hängen vom jeweiligen Fehler ab und davon, ob er mit anderen Schwachstellen kombiniert wird.

Diese Kombination ist es wert, verstanden zu werden. Moderne Browser isolieren Webinhalte in einer Sandbox, sodass ein einzelner Fehler oft nicht für eine vollständige Kompromittierung ausreicht. Angreifer kombinieren manchmal mehrere Schwachstellen, um auszubrechen. Wir haben dies in unserem Bericht über eine Chrome-Zero-Day-Kette, die die Sandbox verlässt, untersucht, der zeigt, wie separate Fehler zu einem einzigen funktionierenden Exploit zusammengesetzt werden können.

Der entscheidende Punkt für Alltagsnutzer: Sie müssen nichts herunterladen und nicht auf eine verdächtige Aufforderung klicken, damit ein Browser-Exploit relevant wird. Es kann ausreichen, Inhalte bloß zu laden, weshalb diese Fehler ernst genommen werden, selbst wenn die öffentlichen Details spärlich sind.

Warum ein VPN Browser-Exploits nicht stoppt

Es ist leicht anzunehmen, dass Datenschutzwerkzeuge alles abdecken. Das tun sie nicht. Ein VPN verschlüsselt den Datenverkehr zwischen Ihrem Gerät und dem VPN-Server und verbirgt Ihre IP-Adresse vor den Websites, die Sie besuchen. Das ist nützlich für die Privatsphäre in nicht vertrauenswürdigen Netzwerken, aber es arbeitet auf Netzwerkebene.

Ein Browser-Exploit findet im Browser selbst statt. Wenn eine bösartige Seite einen Speicherfehler in Chrome auslöst, transportiert der VPN-Tunnel die Seite einfach zu Ihnen – Exploit inklusive. Die Verschlüsselung prüft oder neutralisiert nicht, was die Seite tut, sobald Chrome sie rendert.

Das ist kein Argument gegen die Nutzung eines VPN für die Dinge, für die es gedacht ist. Es ist eine Erinnerung daran, dass verschiedene Werkzeuge verschiedene Probleme lösen. Bei Browser-Schwachstellen ist die relevante Verteidigung der Patch.

So prüfen Sie, ob Chrome vollständig aktualisiert ist

Chrome aktualisiert sich normalerweise im Hintergrund, aber der Fix greift erst, wenn der Browser neu gestartet wird. Viele Menschen lassen Chrome tagelang oder wochenlang geöffnet, was eine Lücke zwischen gepatcht und angewendet hinterlassen kann.

  1. Öffnen Sie Chrome und klicken Sie auf das Drei-Punkte-Menü in der oberen rechten Ecke.
  2. Gehen Sie zu Hilfe und dann zu Über Google Chrome.
  3. Lassen Sie Chrome nach Updates suchen. Wenn eines verfügbar ist, wird es automatisch heruntergeladen.
  4. Klicken Sie auf Neu starten, wenn Sie dazu aufgefordert werden. Ihre Tabs werden in der Regel danach wiederhergestellt.
  5. Öffnen Sie die Über-Seite erneut, um zu bestätigen, dass Chrome auf dem neuesten Stand ist.

Wenn Sie Geräte für einen Haushalt oder ein kleines Team verwalten, wiederholen Sie dies auf jedem Computer und jedem Telefon, das Chrome verwendet. Browser, die auf derselben Engine basieren, erhalten möglicherweise ebenfalls eigene Fixes, prüfen Sie also auch diese.

Patch-Fristen können in Organisationen ebenfalls eine Rolle spielen. Unsere Berichterstattung über CISA's Frist vom 18. September für ein Chrome-Zero-Day ist ein gutes Beispiel dafür, wie schnell sich Vorgaben bewegen können, sobald eine Ausnutzung bestätigt ist.

Was das für Sie bedeutet

Für die meisten Menschen ist das Risiko durch einen einzelnen Zero-Day gering, und die Abhilfe ist schnell. Aber der stetige Strom an Fixes in diesem Jahr deutet darauf hin, dass es ein Fehler ist, Browser-Updates als optional zu behandeln. Angreifer finden und nutzen Chrome-Fehler offensichtlich, bevor Patches existieren, daher ist die Zeit zwischen der Auslieferung eines Fixes und Ihrer Anwendung der Teil, den Sie kontrollieren.

Ein paar praktische Gewohnheiten helfen:

  • Starten Sie Chrome regelmäßig neu. Ein heruntergeladenes Update bewirkt nichts, bis Sie neu starten.
  • Prüfen Sie die Über-Seite, wann immer Sie Neuigkeiten über ein neues Chrome-Zero-Day sehen.
  • Halten Sie auch Ihr Betriebssystem aktuell, da Browser-Exploits manchmal mit anderen Schwachstellen verkettet werden.
  • Nutzen Sie ein VPN für das, was es gut kann, etwa den Schutz des Datenverkehrs in öffentlichen WLANs, aber verlassen Sie sich nicht darauf, Browser-Angriffe zu blockieren.

Fazit: Jetzt aktualisieren und neu starten

Das neueste Chrome-Zero-Day-Update 2026 ist eine weitere Erinnerung daran, dass der wirksamste Schutz gegen Browser-Exploits ein gepatchter Browser ist. Öffnen Sie jetzt die Über-Seite von Chrome, installieren Sie das neueste Update und starten Sie neu. Für den Kontext, wie sich die Probleme dieses Jahres summiert haben, lesen Sie unseren früheren Bericht über Chrome 153 und seinen siebten Zero-Day-Fix. Es dauert weniger als eine Minute, und es schließt die Tür zu einem Fehler, den Angreifer bereits ausnutzten.

FAQ: Q1: Wie viele aktiv ausgenutzte Chrome-Zero-Days gab es 2026? A1: Google hat einen weiteren Chrome-Speicherfehler behoben, den Angreifer bereits ausnutzten, womit die diesjährige Bilanz aktiv ausgenutzter Chrome-Zero-Days auf acht steigt. Q2: Um welche Art von Schwachstelle handelte es sich beim neuesten Chrome-Zero-Day? A2: Der neueste Chrome-Zero-Day ist ein Speicherfehler und folgt dem gemeinsamen Muster, dass die Chrome-Zero-Days dieses Jahres Speicherfehler sind. Q3: Was bedeutet „Zero-Day“? A3: Ein „Zero-Day“ bedeutet, dass Angreifer zuerst da waren und der Hersteller keinen Patch verfügbar hatte, als die Ausnutzung begann, sodass es kein Zeitfenster gab, in dem Nutzer sich durch ein Update hätten schützen können. Q4: Muss ich etwas anklicken oder herunterladen, damit ein Browser-Exploit mich betrifft? A4: Nein – Sie müssen nichts herunterladen und nicht auf eine verdächtige Aufforderung klicken, damit ein Browser-Exploit relevant wird, da es ausreichen kann, Inhalte bloß zu laden. Q5: Schützt ein VPN gegen Chrome-Browser-Exploits? A5: Nein. Ein VPN arbeitet auf Netzwerkebene und verschlüsselt den Datenverkehr, aber ein Browser-Exploit findet im Browser selbst statt, und das VPN prüft oder neutralisiert nicht, was die Seite tut, sobald Chrome sie rendert.