Chrome Zero-Day CVE-2026-85046: CISAs Frist am 18. September

Ein Chrome-Bug, den Angreifer bereits nutzten

Google hat eine weitere aktiv ausgenutzte Chrome-Zero-Day-Schwachstelle gepatcht, und die Uhr tickt nun für alle, die noch nicht aktualisiert haben. Der Fehler, verfolgt als CVE-2026-85046, wurde am 4. September 2026 behoben, aber die US-amerikanische Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) hat ihn bereits in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen und gibt Bundesbehörden bis zum 18. September Zeit, den Patch anzuwenden. Dieses kurze Zeitfenster ist ein starkes Signal dafür, wie ernst Sicherheitsbeamte diesen Bug nehmen, und es erinnert daran, dass auch normale Chrome-Nutzer nicht zögern sollten.

Dies ist nicht das erste Mal, dass diese spezielle Schwachstelle Schlagzeilen macht. Wie wir berichtet haben, als der Chrome-Zero-Day-CVE-2026-85046-Patch erstmals ausgeliefert wurde, hat Google einen Notfall-Update herausgegeben, nachdem bestätigt wurde, dass Angriffe in der realen Welt den Fehler bereits ausnutzten, bevor ein Fix verfügbar war. Die CISA-Frist fügt einer Geschichte, die sich bereits schnell entwickelte, eine neue Dringlichkeitsebene hinzu.

Was CVE-2026-85046 gefährlich macht

CVE-2026-85046 befindet sich in V8, der JavaScript- und WebAssembly-Engine, die Chrome und jeden Chromium-basierten Browser antreibt. Konkret handelt es sich um eine Typverwechslungs-Schwachstelle, eine Klasse von Bugs, bei der der Browser den Typ der Daten, die er verarbeitet, falsch identifiziert, was Angreifern ermöglichen kann, Speicher auf eine Weise zu manipulieren, die nie beabsichtigt war. In der Praxis bedeutet das, dass eine speziell gestaltete Webseite den Fehler auslösen und möglicherweise eine beliebige Codeausführung innerhalb der Sandbox des Browsers erreichen kann, der isolierten Umgebung, die Chrome verwendet, um bösartige Inhalte davon abzuhalten, den Rest Ihres Systems zu berühren.

Da die Schwachstelle bereits in freier Wildbahn ausgenutzt wurde, bevor Google einen Fix auslieferte, qualifiziert sie sich als echte Zero-Day-Schwachstelle. Angreifer mussten den Patch nicht reverse-engineeren, um herauszufinden, wie sie den Bug missbrauchen können; sie nutzten ihn bereits gegen reale Ziele. Genau deshalb hat CISA schnell gehandelt und sie in den KEV-Katalog aufgenommen, eine Liste, die für Schwachstellen mit bestätigter, aktiver Ausnutzung reserviert ist, nicht für theoretische Risiken.

Der Fix kam im Rahmen eines breiteren Chrome-Sicherheitsupdates, das mehrere Schwachstellen behob, aber CVE-2026-85046 stach wegen seines Status als aktiv ausgenutzt hervor. Wie wir in unserer früheren Berichterstattung detailliert dargelegt haben, die Nutzer dazu aufforderte, Chrome jetzt wegen des Datenschutzrisikos zu aktualisieren, könnte ein erfolgreicher Exploit möglicherweise Browseraktivitäten, Sitzungsdaten oder andere sensible Informationen einem Angreifer zugänglich machen, der Codeausführung in Ihrem Browser erreicht.

Warum die CISA-Frist über Regierungsnetzwerke hinaus wichtig ist

CISAs KEV-Katalog ist technisch gesehen ein Mandat für zivile Bundesbehörden, aber seine reale Wirkung reicht viel weiter. Wenn CISA eine harte Frist wie den 18. September setzt, sendet sie effektiv eine Risikobewertung an die gesamte Sicherheitsbranche: Dieser Bug ist ernst, er wird aktiv genutzt, und Organisationen jeder Größe sollten das Patchen als Priorität behandeln, nicht als Routine-Update, das man irgendwann erledigt.

Viele Unternehmen, IT-Abteilungen und Sicherheitsteams außerhalb der Regierung nutzen den KEV-Katalog als Maßstab für ihre eigenen Patch-Management-Zeitpläne. Wenn eine Schwachstelle auf der Liste landet, springt sie typischerweise an die Spitze der Warteschlange. Für einzelne Nutzer gibt es keine formelle Frist, aber dieselbe Logik gilt. Chrome aktualisiert sich für die meisten Nutzer still im Hintergrund, aber das funktioniert nur, wenn der Browser die Chance bekommt, neu zu starten und das Update anzuwenden. Wenn Sie dieselben Chrome-Tabs seit Tagen oder Wochen ohne Neustart geöffnet haben, läuft bei Ihnen möglicherweise immer noch eine anfällige Version.

Was das für Sie bedeutet

Wenn Sie Chrome oder einen anderen Chromium-basierten Browser verwenden, der dieselbe V8-Engine erbt, ist das heute fünf Minuten Aufmerksamkeit wert. Der Exploit erfordert nicht, dass Sie im herkömmlichen Sinne eine Datei herunterladen oder auf einen verdächtigen Link klicken; schlicht das Besuchen einer bösartigen oder kompromittierten Webseite könnte ausreichen, um ihn auszulösen. Das macht das Patchen des Browsers zu einer der wenigen Sicherheitsaufgaben, bei denen der Fix vollständig in Ihrer Kontrolle liegt und fast keine Mühe kostet.

Heimnutzer, kleine Unternehmen und alle, die ihre eigenen Geräte verwalten, sollten dies genauso behandeln, wie CISA es mit Bundesnetzwerken tut: als Priorität, nicht als Aufgabe für irgendwann. Die gute Nachricht ist, dass für diese Schwachstelle – anders als bei vielen anderen – bereits ein Fix verfügbar ist und wartet.

Umsetzbare Erkenntnisse

• Öffnen Sie das Chrome-Menü, gehen Sie zu Hilfe > Über Google Chrome, und lassen Sie es nach Updates suchen. Starten Sie den Browser neu, sobald das Update heruntergeladen ist, um sicherzustellen, dass der Patch tatsächlich wirksam wird.
• Überprüfen Sie alle von Ihnen verwendeten Chromium-basierten Browser (einschließlich solcher, die auf derselben Engine basieren) auf ihre eigenen Sicherheitsupdates, da der zugrunde liegende V8-Fehler auch sie betreffen kann.
• Verlassen Sie sich nicht ausschließlich auf automatische Hintergrundupdates, wenn Sie Ihren Browser selten schließen oder neu starten. Das manuelle Auslösen einer Überprüfung stellt sicher, dass Sie keinen veralteten, anfälligen Code ausführen.
• Wenn Sie Geräte für ein Unternehmen oder eine Organisation verwalten, priorisieren Sie diesen Patch genauso, wie CISAs KEV-Frist es für Bundesbehörden nahelegt, auch wenn Sie nicht an dasselbe Datum des 18. September gebunden sind.
• Bleiben Sie wachsam für zukünftige Chrome-Sicherheitsbulletins. Zero-Days wie CVE-2026-85046 neigen dazu, in Clustern zu erscheinen, und zeitnahes Patchen bleibt der zuverlässigste Schutz, der gewöhnlichen Nutzern zur Verfügung steht.

Das Aktualisieren Ihres Browsers dauert nur einen Moment, aber es schließt die Tür zu einer Schwachstelle, die Angreifer bereits nutzten, bevor Google überhaupt einen Fix fertig hatte. Diese Lücke zwischen Ausnutzung und Patch ist genau der Grund, warum das Aktualisieren von Chrome einen festen Platz auf Ihrer digitalen Sicherheits-Checkliste verdient.